docs: Export, Import und Sicherung dokumentieren

README bekommt einen eigenen Abschnitt mit den vier Wegen, den drei
Importstrategien und beiden Sicherungsarten - samt der Empfehlung, eine
Sicherung einmal in eine Wegwerf-Datenbank zurueckzuspielen. FEATURES
beschreibt dasselbe ausfuehrlicher.

In der ROADMAP wandert Export und Import zu den erledigten Punkten, mit den
getroffenen Entscheidungen: keine Tokens, keine Snapshots, Voll-Sicherung
nur fuer Administratoren. Die folgenden Punkte ruecken auf.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.env.example

@@ -56,21 +56,6 @@ APP_SECRET="bitte-aendern-mindestens-32-zeichen-langer-zufallswert"
 # Lebensdauer einer Anmeldung in Tagen.
 SESSION_TTL_DAYS="30"
 
-# ── Benachrichtigungen ───────────────────────────────────────
-# ntfy und Webhook brauchen nichts weiter – die Ziele werden in der
-# Anwendung unter "Mein Konto" eingerichtet.
-#
-# E-Mail steht erst zur Verfuegung, wenn SMTP_HOST gesetzt ist:
-# SMTP_HOST="smtp.example.com"
-# SMTP_PORT="587"
-# SMTP_SECURE="false"          # true bei Port 465, sonst STARTTLS
-# SMTP_USER="nebula@example.com"
-# SMTP_PASSWORD="geheim"
-# SMTP_FROM="Nebula <nebula@example.com>"
-
-# Timeout fuer das Zustellen in Millisekunden
-NOTIFY_TIMEOUT_MS="10000"
-
 # ── Ausgehende Git-Zugriffe ──────────────────────────────────
 # Timeout fuer Git-API-Aufrufe in Millisekunden
 GIT_API_TIMEOUT_MS="15000"

.gitea/workflows/ci.yml

@@ -1,78 +0,0 @@
-# Prueft jeden Push und jeden Pull Request.
-#
-# Die Datei liegt unter .gitea/workflows und wird von Gitea Actions gelesen.
-# Die Syntax ist mit GitHub Actions kompatibel – wer das Repo dorthin
-# spiegelt, kopiert sie nach .github/workflows.
-#
-# Voraussetzung: In der Gitea-Instanz muessen Actions aktiviert sein
-# (app.ini: [actions] ENABLED = true) und mindestens ein Runner registriert.
-
-name: CI
-
-on:
-  push:
-    branches: [main]
-  pull_request:
-
-jobs:
-  pruefen:
-    runs-on: ubuntu-latest
-
-    services:
-      postgres:
-        image: postgres:17-alpine
-        env:
-          POSTGRES_USER: nebula
-          POSTGRES_PASSWORD: nebula
-          # Der Name muss "test" enthalten – global-setup.ts leert die
-          # Datenbank und weigert sich bei allem anderen.
-          POSTGRES_DB: nebula_e2e_test
-        ports:
-          - 5432:5432
-        options: >-
-          --health-cmd "pg_isready -U nebula"
-          --health-interval 5s
-          --health-timeout 5s
-          --health-retries 20
-
-    env:
-      DATABASE_URL: postgresql://nebula:nebula@localhost:5432/nebula_e2e_test?schema=public
-      E2E_DATABASE_URL: postgresql://nebula:nebula@localhost:5432/nebula_e2e_test?schema=public
-      # Nur fuer den Lauf – keine echten Daten im Spiel.
-      APP_SECRET: ci-lauf-schluessel-nur-fuer-die-pipeline-0123456789
-      NEXT_TELEMETRY_DISABLED: "1"
-
-    steps:
-      - uses: actions/checkout@v4
-
-      - uses: actions/setup-node@v4
-        with:
-          node-version: 22
-          cache: npm
-
-      - name: Abhaengigkeiten
-        run: npm ci
-
-      - name: Typen pruefen
-        run: npx tsc --noEmit
-
-      - name: Unit-Tests
-        run: npm test
-
-      - name: Browser fuer die Oberflaechentests
-        run: npx playwright install --with-deps chromium
-
-      # Baut zuerst und startet den Server dann selbst (siehe
-      # playwright.config.ts, webServer).
-      - name: Ende-zu-Ende-Tests
-        run: npm run test:e2e
-
-      - name: Bericht bei Fehlschlag sichern
-        if: failure()
-        uses: actions/upload-artifact@v4
-        with:
-          name: playwright-bericht
-          path: |
-            playwright-report/
-            test-results/
-          retention-days: 7

.gitignore

@@ -46,12 +46,6 @@ yarn-error.log*
 # Sicherungen aus scripts/backup.* – enthalten alle Daten der Instanz
 /backups
 
-# Playwright
-/test-results
-/playwright-report
-/blob-report
-/playwright/.cache
-
 # editors
 .idea/
 .vscode/*

CLAUDE.md

@@ -1,140 +0,0 @@
-# Nebula – Hinweise für Claude Code
-
-Dashboard für Vibe-Coding-Projekte. Next.js 15 (App Router), TypeScript,
-Tailwind 4, Prisma, PostgreSQL. Oberfläche und Texte sind **deutsch**.
-
-Funktionsumfang: [FEATURES.md](FEATURES.md) · Geplantes: [ROADMAP.md](ROADMAP.md) ·
-Betrieb: [README.md](README.md) · Server: [DEPLOYMENT.md](DEPLOYMENT.md)
-
-## Womit man arbeitet
-
-```bash
-docker compose up -d db        # Postgres, muss laufen
-npm run dev                    # Entwicklung
-npm test                       # Unit-Tests (Vitest, ohne DB)
-npx tsc --noEmit               # Typprüfung
-npm run build                  # Produktionsbau
-docker compose --profile full up -d --build    # alles im Container
-```
-
-**Vor dem `npm run build` einen laufenden `npm start`/`npm run dev` beenden.**
-Sonst hält der Prozess die Prisma-Engine-DLL und der Bau bricht unter Windows
-mit `EPERM … query_engine-windows.dll.node` ab.
-
-## Nicht verhandelbar
-
-**Datentrennung.** Jede Abfrage filtert auf den Besitzer, und zwar an erster
-Stelle in der `where`-Klausel. Schreiben und Löschen laufen über
-`updateMany`/`deleteMany` mit `ownerId`, damit fremde Datensätze gar nicht
-erst getroffen werden. Fremde IDs liefern **404, nicht 403** — die Antwort
-soll nicht bestätigen, dass es den Datensatz gibt.
-
-**Jeder Endpunkt prüft selbst.** `requireUserApi()` bzw. `requireUserPage()`
-sind die Sicherheitsgrenze. Die Middleware schaut nur, ob überhaupt ein
-Cookie mitkommt — im Edge-Runtime gibt es keine Datenbank.
-
-**Eingaben validieren.** Zod an jeder API-Grenze, Body über `readJsonBody`
-(erzwingt `application/json` und begrenzt die Größe).
-
-**Keine Geheimnisse nach außen.** Git-Tokens verlassen den Server nie;
-Verbindungen werden über `connectionSafeSelect` geladen. Projekt-Exporte
-enthalten grundsätzlich keine Tokens.
-
-**Ausgehende Aufrufe nur über `lib/git/http.ts`** — dort greift der
-SSRF-Schutz (`lib/security/ssrf.ts`).
-
-## Fallstricke, die schon zugeschlagen haben
-
-- **`node:`-Module in Client-Komponenten.** `lib/crypto`, `lib/auth/password`,
-  `lib/git/index` ziehen `node:crypto`/`node:net` nach. Client-Komponenten
-  importieren stattdessen `lib/git/meta` bzw. `lib/auth/constants`.
-- **`instrumentation.ts` wird auch für Edge übersetzt.** Der dynamische Import
-  muss *innerhalb* von `if (process.env.NEXT_RUNTIME === "nodejs")` stehen,
-  sonst scheitert der Bau an `node:crypto`.
-- **Eigene CSS-Klassen gehören in `app/components.css`** und dort in
-  `@layer components`. Außerhalb eines Layers gewinnen sie gegen
-  Tailwind-Utilities — dann greift `pl-9` neben `.field` nicht mehr.
-- **Menüs und Dialoge über Portal.** Karten setzen `overflow-hidden` und
-  `backdrop-filter`; Letzteres erzeugt einen neuen Bezugsrahmen, in dem
-  `position: fixed` und `z-index` nicht mehr wie erwartet wirken. Dafür gibt
-  es `components/ui/Popover.tsx` und `components/ui/Modal.tsx`.
-- **Overlays brauchen einen deckenden Hintergrund** (`.popover`), nicht
-  `.glass` — dessen 3,5 % Deckkraft lassen alles durchscheinen.
-- **Datumsangaben** über `lib/utils` formatieren (feste Zeitzone), sonst
-  weichen Server-Render und Hydration voneinander ab. Relative Zeiten
-  bekommen `suppressHydrationWarning`.
-
-## Migrationen
-
-`prisma migrate dev` ist hier nicht benutzbar (interaktiv). Stattdessen:
-
-```bash
-docker exec nebula-db psql -U nebula -d postgres -c "CREATE DATABASE nebula_shadow"
-npx prisma migrate diff --from-migrations prisma/migrations \
-  --to-schema-datamodel prisma/schema.prisma \
-  --shadow-database-url postgresql://nebula:nebula@localhost:5432/nebula_shadow \
-  --script --output prisma/migrations/<stempel>_<name>/migration.sql
-npx prisma migrate deploy
-```
-
-**`--from-migrations`, nicht `--from-schema-datasource`.** Letzteres
-vergleicht mit der *laufenden* Datenbank. Ist eine eben erzeugte Migration
-dort noch nicht eingespielt, steht ihr Inhalt in der nächsten gleich noch
-einmal.
-
-**Die erzeugte SQL vor dem Anwenden lesen.** Der Volltextindex
-`Note_fulltext_idx` ist ein Ausdrucksindex, den Prisma nicht kennt (er wird
-bislang in Ruhe gelassen, aber das ist nicht garantiert).
-
-**Datenmigrationen von Hand schreiben.** `migrate diff` kennt nur den
-Zielzustand: Spalten, die woandershin wandern, würde es ersatzlos löschen.
-Vorgehen wie in `20260726230000_repositories`: neue Tabelle anlegen, Bestand
-per `INSERT … SELECT` übernehmen, dann erst die alten Spalten entfernen.
-Danach `migrate diff` erneut laufen lassen — kommt „empty migration“ heraus,
-stimmt das Ergebnis mit dem Schema überein. Und gegen eine Kopie mit echten
-Daten prüfen, nicht nur gegen eine leere Datenbank.
-
-## Prüfen, nicht behaupten
-
-Vor „fertig": `npx tsc --noEmit`, `npm test`, `npm run build`.
-
-Bei Änderungen an der Oberfläche **hinsehen**. Chrome ist installiert, ein
-Skript mit `playwright-core` und `channel: "chrome"` genügt für Screenshots.
-Mehrere Anzeigefehler dieses Projekts sind ausschließlich so aufgefallen.
-
-**Barrierefreiheit misst man, statt sie zu behaupten.** `axe-core` liegt als
-Entwicklungsabhängigkeit bereit; ein Skript hängt es per `addScriptTag` in
-die laufende Seite und ruft `axe.run` mit den WCAG-Tags auf. Jeder
-Dialogzustand ist eine eigene Prüfung — geschlossene Dialoge stehen nicht im
-DOM. Der Kontrast gedämpfter Texte ist der Punkt, der hier schon einmal
-gerissen wurde; die aufgehellten Stufen stehen in `globals.css` im `@theme`.
-
-Wer den Standalone-Bau von Hand startet (`node .next/standalone/server.js`),
-muss vorher `.next/static` und `public` danebenkopieren — sonst lädt kein
-JavaScript, die Seite bleibt serverseitig gerendert, und Formulare senden
-sich nativ ab. Das sieht aus wie ein Anwendungsfehler, ist aber keiner:
-
-```bash
-cp -r .next/static .next/standalone/.next/ && cp -r public .next/standalone/
-```
-
-`pkill` gibt es in dieser Git-Bash nicht. Prozesse über PowerShell beenden
-(`Get-CimInstance Win32_Process … | Stop-Process`) — sonst läuft der alte
-Server weiter, hält die Prisma-DLL und blockiert den nächsten Bau.
-
-**Niemals gegen die echte Datenbank testen.** Eine Wegwerf-Datenbank anlegen
-und danach löschen:
-
-```bash
-docker exec nebula-db psql -U nebula -d postgres -c "CREATE DATABASE nebula_test"
-DATABASE_URL=postgresql://nebula:nebula@localhost:5432/nebula_test npx prisma migrate deploy
-```
-
-## Sprache
-
-Code-Kommentare, Commit-Nachrichten und Oberfläche auf Deutsch, **ohne
-Umlaute in Bezeichnern und Commit-Nachrichten** (bestehende Konvention).
-In Markdown-Dateien und in der Oberfläche sind Umlaute erwünscht.
-
-Commits: Conventional Commits, Betreff deutsch, Rumpf erklärt **warum** —
-nicht was der Diff ohnehin zeigt.

DEPLOYMENT.md

@@ -1,342 +0,0 @@
-# Nebula auf einem Server betreiben
-
-Schritt für Schritt: von der leeren Maschine bis zur laufenden Instanz hinter
-TLS — und wie Updates danach ablaufen.
-
-Für Installation zum Ausprobieren und die Entwicklungsvarianten siehe
-[README.md](README.md). Hier geht es um den Dauerbetrieb.
-
----
-
-## Was du brauchst
-
-| | |
-| --- | --- |
-| Server | Linux mit Docker Engine ≥ 24 und Compose v2 |
-| Arbeitsspeicher | 1 GB reichen; beim Bauen kurzzeitig ~2 GB |
-| Plattenplatz | ~2 GB für Abbilder, dazu die Datenbank |
-| Domain | Eine (Unter-)Domain, die auf den Server zeigt |
-| TLS | Pflicht, wenn du Passkeys willst — siehe Schritt 6 |
-
-> **Warum TLS Pflicht ist:** Passkeys verlangen einen sicheren Kontext.
-> Über `http://` an einer LAN-IP funktionieren sie nicht. Passwort und
-> Zwei-Faktor gehen auch ohne, aber dann läuft dein Passwort im Klartext
-> übers Netz — betreibe Nebula nicht ohne TLS.
-
----
-
-## 1 · Docker installieren
-
-```bash
-curl -fsSL https://get.docker.com | sh
-sudo usermod -aG docker "$USER"
-newgrp docker            # oder ab- und wieder anmelden
-
-docker --version && docker compose version
-```
-
-## 2 · Nebula holen
-
-```bash
-sudo mkdir -p /opt/nebula && sudo chown "$USER" /opt/nebula
-git clone https://git.example.com/dein-name/nebula.git /opt/nebula
-cd /opt/nebula
-```
-
-## 3 · Konfigurieren
-
-```bash
-node scripts/setup.mjs        # legt .env an und würfelt ein APP_SECRET
-```
-
-Ohne Node auf dem Server: `cp .env.example .env` und das Geheimnis von Hand
-setzen —
-
-```bash
-openssl rand -base64 48
-```
-
-Dann die `.env` öffnen und mindestens diese vier Werte anpassen:
-
-```env
-# Die Adresse, unter der du Nebula im Browser aufrufst.
-# Bestimmt die WebAuthn-rpID — passt sie nicht, scheitern Passkeys.
-APP_URL="https://nebula.deine-domain.de"
-
-# Verschlüsselt die Git-Tokens. Lang, zufällig, niemals teilen.
-APP_SECRET="…dein-langer-zufallswert…"
-
-# Das Datenbankpasswort. Die Voreinstellung „nebula" ist für Entwicklung.
-POSTGRES_PASSWORD="…noch-ein-langer-zufallswert…"
-
-# Nur lokal lauschen — nach außen geht es über den Reverse Proxy (Schritt 6).
-APP_PORT=127.0.0.1:3000
-```
-
-> **`APP_SECRET` später zu ändern** macht gespeicherte Git-Tokens unlesbar.
-> Sie müssen dann neu hinterlegt werden. Konten, Passwörter und Passkeys
-> bleiben unberührt.
->
-> **`APP_URL` später zu ändern** macht bestehende **Passkeys ungültig**, weil
-> sie an die rpID gebunden sind. Passwörter funktionieren weiter.
-
-### Datenbankport schließen
-
-`docker-compose.yml` bildet Postgres standardmäßig auf `5432` ab, damit man
-in der Entwicklung von außen drankommt. Auf einem Server hat die Datenbank
-nichts im Internet zu suchen:
-
-```env
-POSTGRES_PORT=127.0.0.1:5432
-```
-
-Noch besser: die `ports:`-Zeile des `db`-Dienstes ganz entfernen. Die
-Anwendung erreicht die Datenbank über das interne Docker-Netz, nicht über
-den Host.
-
-## 4 · Starten
-
-```bash
-docker compose --profile full up -d --build
-```
-
-Der erste Bau dauert ein paar Minuten. Der Container spielt beim Start
-selbst die Migrationen ein und wartet dabei auf die Datenbank.
-
-```bash
-docker compose --profile full logs -f app     # mitlesen, Strg+C beendet nur das Lesen
-curl -s localhost:3000/api/health             # {"status":"ok","database":"up",…}
-```
-
-## 5 · Ersten Zugang anlegen
-
-Ruf `https://nebula.deine-domain.de/setup` auf (nach Schritt 6) oder
-vorübergehend über einen SSH-Tunnel:
-
-```bash
-ssh -L 3000:127.0.0.1:3000 benutzer@server
-# dann lokal http://localhost:3000/setup öffnen
-```
-
-Dort legst du das Administratorkonto an und wählst die Betriebsart.
-**Danach ist `/setup` dauerhaft gesperrt.**
-
-Anschließend gleich unter *Mein Konto*:
-
-1. **Passkey hinzufügen** — geht erst, wenn TLS steht
-2. **Zwei-Faktor einrichten** und die Wiederherstellungscodes wegschreiben
-
-## 6 · Reverse Proxy mit TLS
-
-Nebula bringt keinen eigenen TLS-Abschluss mit. Beispiel mit **Caddy**, das
-Zertifikate von selbst besorgt und erneuert:
-
-```caddyfile
-# /etc/caddy/Caddyfile
-nebula.deine-domain.de {
-    reverse_proxy 127.0.0.1:3000
-}
-```
-
-```bash
-sudo systemctl reload caddy
-```
-
-Das genügt. Caddy setzt `X-Forwarded-*` von selbst, holt das Zertifikat bei
-Let's Encrypt und leitet `http` auf `https` um.
-
-<details>
-<summary>Dasselbe mit nginx</summary>
-
-```nginx
-server {
-    listen 443 ssl http2;
-    server_name nebula.deine-domain.de;
-
-    ssl_certificate     /etc/letsencrypt/live/nebula.deine-domain.de/fullchain.pem;
-    ssl_certificate_key /etc/letsencrypt/live/nebula.deine-domain.de/privkey.pem;
-
-    location / {
-        proxy_pass http://127.0.0.1:3000;
-        proxy_set_header Host              $host;
-        proxy_set_header X-Real-IP         $remote_addr;
-        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
-        proxy_set_header X-Forwarded-Proto $scheme;
-    }
-}
-```
-
-Zertifikat mit `certbot --nginx -d nebula.deine-domain.de`.
-</details>
-
-> Steht `APP_URL` auf `https://…`, setzt Nebula das `Secure`-Flag auf die
-> Sitzungscookies. Läuft der Proxy auf `https`, die `APP_URL` aber noch auf
-> `http`, funktioniert die Anmeldung — nur ohne dieses Flag. Also beides
-> gleichziehen.
-
-## 7 · Firewall
-
-```bash
-sudo ufw allow 22/tcp
-sudo ufw allow 80,443/tcp
-sudo ufw enable
-```
-
-Port 3000 und 5432 bleiben **zu**. Beide sind nach Schritt 3 ohnehin nur an
-`127.0.0.1` gebunden; die Firewall ist der zweite Riegel.
-
-## 8 · Sicherungen automatisieren
-
-`scripts/backup.sh` legt einen `pg_dump` unter `backups/` ab. Täglich per
-Cron:
-
-```bash
-crontab -e
-```
-
-```cron
-# Jede Nacht um 3:15 sichern, 30 Tage aufheben
-15 3 * * * cd /opt/nebula && ./scripts/backup.sh >> /var/log/nebula-backup.log 2>&1
-30 3 * * * find /opt/nebula/backups -name '*.sql.gz' -mtime +30 -delete
-```
-
-Zurückspielen:
-
-```bash
-./scripts/restore.sh backups/nebula-2026-07-27-03-15-00.sql.gz
-```
-
-> Die Sicherungen liegen auf **demselben Server**. Das hilft gegen einen
-> verpatzten Import, nicht gegen einen Plattenausfall. Zieh sie regelmäßig
-> woandershin — `rsync`, `restic`, was du ohnehin nutzt.
-
----
-
-## Updates
-
-Dafür gibt es `scripts/update.sh`. Es macht alles in der richtigen
-Reihenfolge und bricht ab, sobald ein Schritt scheitert:
-
-```bash
-cd /opt/nebula
-./scripts/update.sh
-```
-
-Was es tut:
-
-| Schritt | |
-| --- | --- |
-| **1 Prüfen** | docker, compose, `.env` da? Ist `APP_SECRET` gesetzt und nicht mehr der Entwicklungswert? |
-| **2 Holen** | `git pull --ff-only`; zeigt die neuen Commits und fragt nach |
-| **3 Sichern** | `pg_dump` **vor** jeder Schemaänderung |
-| **4 Bauen** | Erst bauen, dann umschalten — ein gescheiterter Bau lässt die alte Fassung laufen |
-| **5 Starten** | Container neu; die Migrationen laufen im Entrypoint |
-| **6 Prüfen** | Bis zu 60 Sekunden auf `/api/health` warten |
-
-Scheitert die Gesundheitsprüfung, zeigt das Skript die letzten Logzeilen und
-nennt den Weg zurück.
-
-```bash
-./scripts/update.sh --yes            # ohne Rückfrage, für Cron
-./scripts/update.sh --ref v1.4.0     # auf eine bestimmte Fassung
-./scripts/update.sh --no-pull        # nur neu bauen, ohne git pull
-```
-
-### Wenn doch etwas schiefgeht
-
-```bash
-# Zurück auf den vorigen Stand (die Kennung nennt das Skript beim Abbruch)
-git checkout <kennung>
-./scripts/update.sh --no-pull --yes
-
-# Nur wenn eine Migration die Daten beschädigt hat:
-./scripts/restore.sh backups/<die-sicherung-von-vorhin>.sql.gz
-```
-
-> **Migrationen werden nicht zurückgerollt.** Eine Migration, die eine Spalte
-> entfernt, ist nicht umkehrbar — deshalb sichert das Skript vorher. Steht
-> ein Update mit Datenmigration an, lies vorher den Änderungsverlauf
-> (Versionsnummer in der Fußzeile).
-
----
-
-## Betrieb
-
-### Zustand ansehen
-
-```bash
-docker compose --profile full ps
-docker compose --profile full logs -f app
-curl -s localhost:3000/api/health
-```
-
-### Neu starten
-
-```bash
-docker compose --profile full restart app
-```
-
-### Speicher- und Plattenverbrauch
-
-```bash
-docker stats --no-stream nebula-app nebula-db
-docker system df
-docker image prune -f          # alte Abbilder nach mehreren Updates
-```
-
-### Automatischer Abgleich
-
-Standardmäßig **aus**. Einzuschalten unter *Admin-Einstellungen →
-Automatischer Abgleich*: Abstand, Repositories je Durchlauf, ob fertige
-Projekte ausgelassen werden. Der Zeitgeber läuft im Serverprozess selbst —
-kein zusätzlicher Container, kein Cron.
-
-Wer lieber von außen taktet, lässt ihn aus und ruft
-`POST /api/admin/sync/run` auf.
-
----
-
-## Härtung, die schon eingebaut ist
-
-Damit du weißt, worum du dich **nicht** kümmern musst:
-
-- Der Container läuft als **unprivilegierter Benutzer** (`nextjs`, UID 1001),
-  nicht als root.
-- **Content-Security-Policy** mit Nonce, `strict-dynamic` und ohne
-  `unsafe-inline` für Skripte.
-- **CSRF-Prüfung** über `Sec-Fetch-Site`/`Origin` bei jedem schreibenden
-  Zugriff.
-- **SSRF-Schutz** bei allen ausgehenden Aufrufen: jede Adresse wird
-  aufgelöst und gegen Loopback, Link-Local und Metadaten-Endpunkte geprüft,
-  Weiterleitungen eingeschlossen.
-- **Ratenbegrenzung** auf Anmeldung, ausgehende Abrufe und schreibende
-  Zugriffe; Kontosperre nach acht Fehlversuchen.
-- **Git-Tokens** liegen AES-256-GCM-verschlüsselt in der Datenbank und
-  verlassen den Server nie — auch nicht im Export.
-- Der **Bildoptimierer** von Next ist abgeschaltet: Nebula benutzt ihn nicht,
-  und `/_next/image` wäre sonst eine Angriffsfläche ohne Gegenwert.
-
-### Was du beisteuern musst
-
-- **TLS** über den Reverse Proxy
-- **`APP_SECRET`** lang und zufällig
-- **Datenbankport** nicht nach außen öffnen
-- **Sicherungen** wegschaffen
-- **Systemupdates**: `unattended-upgrades` für das Betriebssystem,
-  `./scripts/update.sh` für Nebula
-
----
-
-## Mehrbenutzerbetrieb
-
-Nebula kann beides. Im Einzelbetrieb gibt es genau ein Konto und keine
-Registrierung. Umschalten unter *Admin-Einstellungen*.
-
-Wichtig zu wissen: **Projekte sind zwischen Konten hart getrennt.** Auch ein
-Administrator sieht fremde Projekte nicht — er verwaltet Konten, keine
-Inhalte. Wer gemeinsam an einem Projekt arbeiten will, ist mit Nebula falsch
-beraten; das ist [bewusst nicht](ROADMAP.md) vorgesehen.
-
-Die Selbstregistrierung ist standardmäßig aus. Lass sie aus, wenn die
-Instanz aus dem Internet erreichbar ist und du nicht willst, dass sich
-Fremde Konten anlegen.

FEATURES.md

@@ -27,14 +27,6 @@ sonst würden Konten ausgesperrt. Nach der Einrichtung ist `/setup` dauerhaft ge
 - **Passkey (WebAuthn).** Fingerabdruck, Gesichtserkennung oder Sicherheitsschlüssel. Die
   Anmeldung läuft über auffindbare Credentials, ein Benutzername ist also nicht nötig.
   Mehrere Passkeys pro Konto, benennbar und einzeln entfernbar.
-- **Zwei-Faktor per TOTP.** Zeitbasiertes Einmalkennwort zusätzlich zum Passwort, für jede
-  gängige Authenticator-App. Einrichtung über QR-Code oder abgetippten Schlüssel; scharf
-  wird er erst nach einem bestätigten Code, damit sich niemand aussperrt, der den Scan
-  nicht hinbekommt. Dazu zehn **Wiederherstellungscodes**, jeder genau einmal gültig —
-  sie werden nur bei der Ausgabe angezeigt. Abschalten und Neuerzeugen verlangen das
-  Passwort, nicht bloß eine offene Sitzung.
-- Die Passkey-Anmeldung fragt **nicht** nach dem zweiten Faktor: der Passkey ist bereits an
-  ein Gerät gebunden und damit selbst der zweite Faktor.
 - Ein Konto kann **ausschließlich** per Passkey nutzbar sein. Der letzte Passkey lässt sich
   dann nicht entfernen, solange kein Passwort gesetzt ist.
 - Fehlversuche werden gezählt; nach acht sperrt sich das Konto für 15 Minuten.
@@ -43,9 +35,9 @@ sonst würden Konten ausgesperrt. Nach der Einrichtung ist `/setup` dauerhaft ge
 
 ### 0.3 Mein Konto
 
-Anzeigename und E-Mail ändern · Passwort setzen oder wechseln · Zwei-Faktor einrichten und
-abschalten · Passkeys verwalten · aktive Sitzungen einsehen (Browser, Betriebssystem, IP,
-letzte Aktivität) · überall abmelden, wobei das eigene Gerät angemeldet bleibt.
+Anzeigename und E-Mail ändern · Passwort setzen oder wechseln · Passkeys verwalten ·
+aktive Sitzungen einsehen (Browser, Betriebssystem, IP, letzte Aktivität) · überall
+abmelden, wobei das eigene Gerät angemeldet bleibt.
 
 ### 0.4 Benutzerverwaltung (Administratoren)
 
@@ -115,75 +107,10 @@ Der Status ist **direkt auf der Projektkarte** umschaltbar, ohne den Detailberei
 - **Statusfilter** als Chips mit Trefferzähler, mehrere gleichzeitig kombinierbar.
 - **Sortierung** nach zuletzt geändert, Anlagedatum, Name, Fortschritt oder Priorität —
   Favoriten bleiben stets oben.
-- **Drei Ansichten**: freies Raster, nach Status gruppierte Abschnitte oder **Kanban**.
-- **Volltextsuche über Notizen.** Die Suche im Board arbeitet auf den geladenen Projekten
-  (Name, Kurzbeschreibung, Tags, Repo-Pfad). Notizen liegen dort nicht vor — sie
-  mitzuladen würde die Seite aufblähen. Stattdessen sucht Postgres serverseitig mit
-  seiner deutschen Textsuche, entprellt ab zwei Zeichen. Treffer erscheinen als eigene
-  Liste mit hervorgehobener Fundstelle, die betroffenen Projekte werden zusätzlich
-  eingeblendet. Deutsche Stammformen greifen: „Webhook" findet auch „Webhooks".
+- **Zwei Ansichten**: freies Raster oder nach Status gruppierte Abschnitte.
 - **Archiv** ist standardmäßig ausgeblendet und per Schalter einblendbar.
 - **Leerzustände** mit direktem Einstieg statt einer leeren Fläche.
 
-### Schnellsuche
-
-**`Strg+K`** (auf dem Mac `Cmd+K`) öffnet überall eine Palette:
-
-- **Projekte** nach Name, Kurzbeschreibung und Tags — ohne Eingabe stehen die letzten
-  gleich bereit
-- **Notizen** über dieselbe Volltextsuche wie im Board, entprellt ab zwei Zeichen
-- **Bereiche**: Dashboard, Git-Verbindungen, Mein Konto, Admin-Einstellungen
-
-Bedienung über Tastatur: Pfeile wählen, `Enter` öffnet, `Esc` schließt. Die Projektliste
-wird beim ersten Öffnen geholt und dann behalten — sie bei jedem Tastendruck neu zu laden
-wäre Verschwendung.
-
-### Projektvorlagen
-
-Ein Projekt, das sich bewährt hat, lässt sich im Projektkopf über **Als Vorlage sichern**
-festhalten: Status, Priorität, Farbe, Tags, Notizen und offene Aufgaben. Beim Anlegen eines
-neuen Projekts steht die Vorlage oben im Dialog zur Auswahl.
-
-Bewusst benutzereigen statt fest eingebaut — welche Tags und welche Startaufgaben sinnvoll
-sind, weiß nur, wer damit arbeitet. Eine mitgelieferte Liste wäre geraten.
-
-- **Erledigte Aufgaben kommen nicht mit.** Eine Vorlage beschreibt, was zu tun ist, nicht
-  was einmal getan wurde.
-- **Repositories gehen nicht mit.** Eine Vorlage, die jedes neue Projekt an dasselbe
-  Repository hängt, wäre eine Falle.
-- Die Stammdaten füllt der Dialog **sichtbar** in die Felder, damit sie vor dem Speichern
-  noch änderbar sind; bereits Getipptes wird nicht überschrieben. Notizen und Aufgaben legt
-  erst der Server an — im Dialog ließen sie sich nicht darstellen.
-- Vorlagen überleben das Löschen ihres Ursprungsprojekts.
-
-### Mehrfachauswahl
-
-Ein Kästchen auf jeder Karte — es erscheint erst beim Überfahren, damit nicht auf jeder
-Karte dauerhaft eines steht. Sobald etwas ausgewählt ist, fährt unten eine Leiste ein:
-**Status setzen**, **Tags ergänzen oder entfernen**, **als Favorit markieren**, **löschen**.
-
-Was der Filter ausblendet, fällt aus der Auswahl. Sonst träfe eine Massenänderung Projekte,
-die man gar nicht mehr vor Augen hat. Fremde IDs fallen serverseitig still unter den Tisch.
-
-### Kanban
-
-Spalten je Status, Karten per Ziehen verschiebbar. Der Wechsel wird sofort angezeigt und
-erst danach gespeichert; scheitert das Speichern, springt die Karte zurück.
-
-- Gezogen wird am Griff links, nicht an der ganzen Karte — so bleibt der Titel ein
-  normaler Link.
-- Das Ziehen startet erst nach ein paar Pixeln Bewegung, damit Klicks weiter funktionieren.
-  Auf Touchgeräten nach kurzem Halten.
-- **Freie Reihenfolge innerhalb einer Spalte.** Die Position wird am Projekt gespeichert,
-  wie beim Aufgabenbrett. Deshalb ist die Sortierung im Kopf in dieser Ansicht abgeschaltet
-  — sie stehen zu lassen, ohne dass sie wirkt, wäre irreführend.
-- Reines Umsortieren fasst das Änderungsdatum **nicht** an. Sonst schöbe ein Aufräumen im
-  Brett sämtliche Projekte in der Sortierung „Zuletzt geändert“ nach oben.
-- Neue, importierte und per Status verschobene Projekte landen am Ende ihrer Spalte.
-- **Ansicht, Sortierung und Archivschalter überdauern das Neuladen** (im Browser
-  gespeichert, nicht am Konto). Der Suchbegriff bleibt bewusst außen vor — eine Suche von
-  gestern beim Öffnen wiederherzustellen wäre eher verwirrend als hilfreich.
-
 ### Projektkarte auf einen Blick
 
 Name und Favoritenstern · Kurzbeschreibung · Fortschrittsbalken · Provider-Badge ·
@@ -192,76 +119,9 @@ Anzahl Notizen · Warnung bei Sync-Fehler · Tags · Statusauswahl · Priorität
 
 ---
 
-## 2a. Aufgaben je Projekt
-
-Jedes Projekt hat ein eigenes Aufgabenbrett mit vier Spalten: **Offen · In Arbeit ·
-Blockiert · Erledigt**.
-
-- **Ziehen und Ablegen** zwischen den Spalten **und innerhalb** einer Spalte. Anders als
-  beim Projektbrett ist die Reihenfolge hier bedeutsam, deshalb wird sie gespeichert.
-- Gezogen wird am Griff links, damit ein Klick auf die Karte weiter den Dialog öffnet.
-- Eine Aufgabe braucht nur einen Titel. Optional: Beschreibung (Markdown),
-  Fälligkeitsdatum und Labels.
-- **Fälligkeiten** färben sich mit: überfällig rot, heute gelb, in den nächsten Tagen
-  gedämpft.
-- Erledigtes wird durchgestrichen; der Zeitpunkt wird festgehalten und beim Zurückziehen
-  wieder gelöscht.
-
-### Wiederkehrende Aufgaben
-
-Täglich, wöchentlich, alle zwei Wochen oder monatlich. Wandert die Aufgabe nach
-**Erledigt** — im Dialog oder durch Ziehen —, entsteht die nächste von selbst. Die
-erledigte bleibt stehen, sonst ginge die Historie verloren.
-
-- **Gerechnet wird vom Fälligkeitsdatum, nicht vom Abhaken.** Eine wöchentliche Aufgabe
-  bleibt auf ihrem Montag, auch wenn sie einmal erst am Mittwoch erledigt wurde.
-- Lange Liegengebliebenes rutscht so weit vor, bis der Termin in der Zukunft liegt — eine
-  Aufgabe, die schon bei ihrer Entstehung überfällig ist, hilft niemandem.
-- Beim Monatsintervall bleibt der Tag im Monat erhalten. Der 31. Januar wird zum
-  28. Februar, nicht zum 3. März.
-- Nur der **Übergang** nach Erledigt löst aus. Eine bereits erledigte Aufgabe erneut zu
-  speichern erzeugt keine zweite Fassung.
-- Bewusst grob gehalten: feinere Regeln („jeden zweiten Dienstag im Monat") braucht ein
-  Projektdashboard nicht und wären ohne Kalenderansicht kaum nachvollziehbar.
-
-### Aus Git-Issues übernehmen
-
-Im Git-Panel, Reiter *Issues*: ein Klick macht aus den offenen Issues Aufgaben — Titel,
-Labels und ein Link zurück ins Git-System.
-
-- Grundlage ist der **zuletzt geholte Stand**, hier wird nichts nachgeladen. Ein Klick
-  soll nicht ungefragt fremde APIs ansprechen; wer den neuesten Stand will, gleicht
-  vorher ab.
-- Die Issue-Nummer bleibt an der Aufgabe und ist je Projekt eindeutig. Ein zweiter Klick
-  legt deshalb **keine Dubletten** an, auch wenn die Aufgabe inzwischen verschoben oder
-  umbenannt wurde.
-- Ohne Repo-Stand meldet der Server das mit einem Hinweis statt still nichts zu tun.
-
-### Fortschritt aus Aufgaben
-
-Pro Projekt umschaltbar. Ist es an, ergibt sich der Fortschritt aus dem Anteil erledigter
-Aufgaben und wird bei jeder Änderung neu berechnet — der Regler ist dann gesperrt, statt
-einen Wert anzubieten, der gleich wieder überschrieben würde.
-
-Auf der Projektkarte im Dashboard steht das Verhältnis als `3/8`.
-
-### Wie die Reihenfolge gespeichert wird
-
-Beim Ablegen schickt die Oberfläche je Spalte die **vollständige Liste** der Aufgaben in
-ihrer neuen Reihenfolge; der Server vergibt daraus Position und Status. Das ist
-wiederholbar, kommt ohne Positionsrechnerei im Browser aus, und ein verlorener Aufruf
-lässt sich einfach erneut senden. IDs, die nicht zum Projekt gehören, werden ignoriert
-statt verschoben.
-
----
-
 ## 3. Notizen
 
 - **Beliebig viele Notizen pro Projekt**, mit optionalem Titel und mehrzeiligem Text.
-- **Markdown wird dargestellt** — Überschriften, Listen, Tabellen, Codeblöcke, Zitate und
-  Links. Aus `- [ ] Aufgabe` werden echte Checklisten. Gilt auch für die Projekt-
-  beschreibung. Rohes HTML wird beim Rendern entfernt (`rehype-sanitize`) — der Inhalt
-  stammt vom Benutzer und wäre sonst ein XSS-Loch.
 - **Anpinnen** — angepinnte Notizen stehen oben und sind farblich hervorgehoben.
 - **Bearbeiten und Löschen** direkt in der Liste; Löschen fragt nach.
 - **Zeitstempel**: Anlagedatum immer, „bearbeitet vor …" nur bei echter Änderung.
@@ -274,54 +134,6 @@ statt verschoben.
 
 ## 4. Git-Anbindung
 
-### 4.0 Mehrere Repositories je Projekt
-
-Ein Vorhaben besteht oft aus mehreren Repositories — Frontend und Backend etwa, oder
-App und Infrastruktur. Sie gehören trotzdem in **eine** Karte.
-
-- Im Git-Panel steht eine Leiste mit allen Repositories des Projekts, sobald es mehr als
-  eines gibt. Jedes hat eigene Kennzahlen, Listen, CI und eigenen Abgleich; „Alle" gleicht
-  sie nacheinander ab — nicht gleichzeitig, denn ein Schwung Anfragen an denselben Anbieter
-  ist genau das, worauf Rate-Limits reagieren.
-- Eine frei wählbare **Bezeichnung** („Frontend") tritt an die Stelle von `owner/name`.
-- Das erste Repository ist das **führende**. Wo nur eines dargestellt werden kann — auf der
-  Karte im Dashboard, im Kanban —, ist es dieses. Die Karte zeigt daneben `+2 Repos`.
-  Ein Abgleichsfehler an *irgendeinem* Repository erscheint auf der Karte, sonst bliebe er
-  unbemerkt.
-- **Stillstand** bemisst sich am jüngsten Commit über alle Repositories: an einem Vorhaben
-  wird gearbeitet, sobald an einem seiner Teile gearbeitet wird.
-- Benachrichtigungen merken sich den gemeldeten Zustand **je Repository**. Sonst verdeckte
-  ein rotes Frontend die rote Pipeline des Backends. Der Betreff nennt das Repository nur,
-  wenn es nicht ohnehin so heißt wie das Projekt.
-- Übernommene Issues merken sich, aus welchem Repository sie stammen — Frontend und Backend
-  haben beide ein Issue Nummer 5, und das sind zwei Aufgaben.
-
-Der Projektdialog bearbeitet weiterhin nur das führende Repository; weitere verwaltet das
-Git-Panel. Beim Anlegen eines Projekts entsteht aus den Git-Feldern das erste.
-
-### 4.0a README-Vorschau
-
-Das README des führenden Repositories steht auf der Projektseite — man muss nicht ins Git
-wechseln, nur um zu sehen, worum ein halbvergessenes Projekt eigentlich ging. Lange
-READMEs sind eingeklappt, ein Knopf zeigt alles.
-
-- Geholt wird **höchstens einmal am Tag**, wie die Heatmap. GitHub hat einen eigenen
-  Endpunkt, der jede Schreibweise findet; bei GitLab und Gitea braucht es zwei Aufrufe
-  (Wurzelverzeichnis auflisten, dann die Datei holen).
-- Erkannt werden `README.md` und die üblichen Varianten, Groß- und Kleinschreibung egal.
-  Markdown hat Vorrang — nur das lässt sich wirklich darstellen.
-- Bei 60 000 Zeichen wird an einer **Zeilengrenze** abgeschnitten, damit kein halber
-  Codeblock stehen bleibt.
-- **Relative Links** werden gegen das Verzeichnis der Datei im Repository aufgelöst, sonst
-  liefen sie ins Leere.
-- **Bilder werden nicht geladen.** Die Content-Security-Policy erlaubt `img-src` nur von
-  der eigenen Instanz; sie dafür zu öffnen hieße, jedem fremden README das Nachladen
-  beliebiger Bilder zu gestatten — also auch Zählpixeln. Für Abzeichen und
-  Bildschirmfotos, die in einer Vorschau ohnehin Beiwerk sind, ist das kein guter Tausch.
-  Stattdessen steht ein anklickbarer Verweis mit dem Alternativtext.
-- Der Inhalt stammt aus einem fremden Repository und läuft deshalb durch dieselbe
-  Bereinigung wie Notizen (`rehype-sanitize`).
-
 ### 4.1 Unterstützte Systeme
 
 | System | API | Authentifizierung | Besonderheit |
@@ -352,29 +164,12 @@ Firmen-Gitea nebeneinander.
 | --- | --- |
 | Repository | Voller Pfad, Beschreibung, Default-Branch, Sichtbarkeit, Größe, letzte Aktivität |
 | Kennzahlen | Stars, Forks, offene Issues, offene Pull-/Merge-Requests |
-| **Pull-/Merge-Requests** | bis zu 50 offene, mit Nummer, Titel, Autor, Alter, Labels, Entwurfskennzeichnung und Link |
-| **Issues** | bis zu 50 offene, gleiche Angaben. Bei GitHub und Gitea werden PRs herausgefiltert, die dort in derselben Liste stecken |
-| **CI-Status** | Letzter Lauf auf dem Default-Branch: erfolgreich, fehlgeschlagen, läuft, wartet oder abgebrochen — mit Name und Link |
 | Branches | bis zu 50, mit SHA, Default-Markierung, Schutzstatus und (wo die API es liefert) letztem Commit |
 | Tags | bis zu 25, mit SHA, Nachricht und Datum |
-| Commits | die letzten 15 zur Anzeige; geholt werden 100 für die Aktivitätskurve |
-| **Commit-Aktivität** | Balkenreihe der letzten Tage, auf Karte und Projektseite |
-| **Commit-Heatmap** | Ein Feld je Tag über bis zu ein Jahr, auf der Projektseite |
+| Commits | die letzten 15, mit Kurz-SHA, Nachricht, Autor, Datum und Link |
 | Releases | bis zu 10, inklusive Pre-Release- und Draft-Kennzeichnung |
 | Sprachen | Verteilung als Balken mit Prozentwerten |
 
-Woher der CI-Status kommt:
-
-| System | Quelle |
-| --- | --- |
-| GitHub | `actions/runs` für den Default-Branch; Lauf-Status und Ergebnis werden zusammengeführt |
-| GitLab | `pipelines` für den Default-Branch |
-| Gitea | Kombinierter Commit-Status — deckt Gitea Actions **und** externe Systeme wie Woodpecker ab, anders als ein reiner Actions-Endpunkt, den ältere Instanzen nicht kennen |
-
-Zur Ehrlichkeit der Aktivitätskurve: geholt wird eine Seite mit 100 Commits. Reicht die
-nicht über den ganzen Zeitraum, wird die Kurve auf den tatsächlich belegten Ausschnitt
-gekürzt — eine Null zu zeichnen, wo wir schlicht nichts wissen, wäre falsch.
-
 - **Snapshot-Prinzip**: Alle Daten werden in der Datenbank abgelegt. Das Dashboard bleibt
   ohne Netzverbindung oder bei erreichtem Rate-Limit vollständig nutzbar.
 
@@ -386,19 +181,9 @@ bewusste Entscheidung sein. Einschalten in den Admin-Einstellungen.
 | Einstellung | Bedeutung |
 | --- | --- |
 | Abstand | 15 Minuten bis täglich |
-| Repositories je Durchlauf | 1–100, Voreinstellung 25 |
+| Projekte je Durchlauf | 1–100, Voreinstellung 25 |
 | Fertige und archivierte auslassen | Dort ändert sich selten noch etwas |
 
-Gezählt und begrenzt wird je **Repository**, nicht je Projekt: sonst zöge ein Projekt mit
-fünf Repos fünfmal so viele Anfragen nach sich, wie sein Platz im Kontingent hergibt.
-
-Die Daten für die **Heatmap** kommen getrennt und höchstens einmal am Tag — an einem
-Jahresüberblick ändert sich von Stunde zu Stunde nichts Sichtbares. Bei GitHub genügt dafür
-ein Aufruf der Jahresstatistik; GitLab und Gitea kennen keine, dort werden bis zu fünf
-Seiten Commits geholt. Reicht das nicht ein Jahr zurück, **beginnt die Heatmap beim
-ältesten bekannten Commit** und sagt es dazu — leere Felder für Zeiträume zu zeichnen, über
-die nichts bekannt ist, wäre eine Lüge.
-
 Wie der Durchlauf arbeitet:
 
 - Der Zeitgeber läuft im Serverprozess selbst (`instrumentation.ts`), prüft minütlich, ob
@@ -466,75 +251,6 @@ Dateneinsicht. Ein Administrator sieht dadurch weiterhin keine fremden Projekte.
 
 ---
 
-## 4b. Benachrichtigungen
-
-Einzurichten unter *Mein Konto → Benachrichtigungen*, pro Konto und beliebig viele Ziele.
-
-### Anlässe
-
-| Anlass | Wann |
-| --- | --- |
-| ⚠️ **Abgleich fehlgeschlagen** | Das Git-System war nicht erreichbar oder hat abgelehnt |
-| 🔴 **CI rot** | Der letzte Lauf auf dem Default-Branch ist fehlgeschlagen |
-| 🏷️ **Neues Release** | Ein neuer Tag oder ein neues Release ist aufgetaucht |
-| 🕸️ **Projekt steht still** | Seit längerem kein Commit — Schwelle einstellbar, Vorgabe 60 Tage |
-
-### Nur bei Änderung
-
-Der entscheidende Punkt: Gemeldet wird **ausschließlich, wenn sich etwas ändert**
-gegenüber dem, worüber zuletzt benachrichtigt wurde. Ein Repository mit abgelaufenem
-Token meldet sich also **einmal**, nicht bei jedem stündlichen Durchlauf. Wird der Fehler
-ein anderer, kommt eine neue Meldung; ist er behoben und tritt später erneut auf, ebenso.
-
-Zwei Feinheiten:
-
-- **Beim allerersten Abgleich** eines Repositories wird kein Release gemeldet — sonst
-  wäre jede bereits vorhandene Version eine „Neuigkeit".
-- Der Merkstand wird auch dann fortgeschrieben, wenn **kein** Ziel eingerichtet ist. Sonst
-  käme beim ersten eingerichteten Ziel die ganze Vergangenheit hinterher.
-
-### Stillstand
-
-Der einzige Anlass, der an keinem Ereignis hängt — es passiert ja gerade nichts. Deshalb
-ein eigener Durchlauf, **höchstens einmal am Tag**, unabhängig vom automatischen Abgleich.
-Hört niemand auf diesen Anlass, läuft die Prüfung gar nicht erst.
-
-Maßstab ist ausschließlich der **letzte Commit** im verknüpften Repository. Das
-Änderungsdatum des Projekts taugt nicht: jeder Abgleich fasst es an und würde den
-Stillstand immer wieder zurücksetzen. Projekte **ohne Repository** bleiben deshalb außen
-vor, ebenso fertige und archivierte.
-
-Gemeldet wird je Projekt einmal. Erneut erst, wenn danach wieder ein Commit kam und es
-seitdem wieder still geworden ist — ein Projekt, das aufwacht und wieder einschläft, meldet
-sich also ein zweites Mal.
-
-Die Schwelle setzt ein Administrator unter *Admin-Einstellungen → Stillstand* (14 Tage bis
-ein Jahr). Eine Änderung wirkt sofort, nicht erst nach 24 Stunden.
-
-### Zustellwege
-
-| Weg | Details |
-| --- | --- |
-| **ntfy** | Vollständige Themen-URL. Titel, Priorität und Symbol als Kopfzeilen; optionales Bearer-Token für geschützte Themen. Läuft auch gegen ein selbst gehostetes ntfy im eigenen Netz. |
-| **Webhook** | JSON per POST mit Anlass, Titel, Text, Projektbezug und Tieflink. Mit hinterlegtem Geheimnis wird der Rumpf per HMAC-SHA256 signiert (`X-Nebula-Signature`), damit der Empfänger die Herkunft prüfen kann. |
-| **E-Mail** | Über SMTP. Steht erst zur Verfügung, wenn `SMTP_HOST` in der `.env` gesetzt ist — sonst ist die Auswahl in der Oberfläche gesperrt und erklärt, warum. |
-
-Jedes Ziel lässt sich einzeln **testen** und **pausieren**; Ergebnis und Zeitpunkt der
-letzten Zustellung stehen an der Karte.
-
-### Absicherung
-
-- Zieladressen sind Benutzereingaben, die der Server abruft — sie laufen deshalb durch
-  denselben **SSRF-Schutz** wie die Git-Verbindungen. Ein ntfy im eigenen Netz bleibt
-  erlaubt, Loopback und Cloud-Metadaten nicht.
-- Redirects werden **nicht verfolgt**: ein Umleitungsziel wäre nicht geprüft.
-- Geheimnisse liegen AES-256-GCM-verschlüsselt und verlassen den Server nie; die
-  Oberfläche zeigt nur einen Hinweis wie `test…mnis`.
-- Eine fehlgeschlagene Zustellung lässt den Abgleich nicht scheitern — der Fehler landet
-  am Ziel, nicht im Sync.
-
----
-
 ## 5. Oberfläche
 
 - **Dark Glassmorphism**: milchige Glasflächen, driftende Nebel im Hintergrund, feines
@@ -542,24 +258,10 @@ letzten Zustellung stehen an der Karte.
 - **Animationen**: gestaffelt einblendende Karten, Hover-Lift mit Farbverlaufsrand,
   animierte Fortschrittsbalken.
 - **Responsiv** von Handy bis Ultrawide (bis zu vier Kartenspalten).
-- **Barrierefrei nach WCAG 2.1 AA**, und zwar geprüft statt behauptet: axe-core läuft über
-  zehn Seitenzustände einschließlich der Dialoge und meldet keine Verstöße. Durchgehende
-  ARIA-Labels, Escape schließt Dialoge, sichtbarer Fokusring, `prefers-reduced-motion`
-  schaltet Animationen ab.
-  Bei der ersten Durchsicht fielen 26 Kontrastverstöße auf: gedämpfter Text erreichte auf
-  dem sehr dunklen Untergrund nur 3,8 statt 4,5 zu 1. Statt an hundert Stellen die Klasse
-  zu tauschen, sind die beiden gedämpften Stufen im Theme aufgehellt — der Abstand
-  zwischen ihnen bleibt sichtbar.
+- **Barrierearm**: durchgehende ARIA-Labels, Escape schließt Dialoge, sichtbarer
+  Fokusring, `prefers-reduced-motion` schaltet Animationen ab.
 - **Deutschsprachig**, Datums- und Zahlenformate in `de-DE` mit fester Zeitzone
   Europe/Berlin, damit Server- und Browser-Darstellung übereinstimmen.
-- **Als App installierbar.** Ein Web-Manifest mit eigenen Symbolen — auf dem Handy
-  „Zum Startbildschirm hinzufügen“, danach läuft Nebula ohne Adressleiste. Die
-  maskierbare Fassung hat mehr Rand, weil Android Symbole je nach Gerät rund, eckig
-  oder als Tropfen zuschneidet.
-- **Änderungsverlauf** hinter der Versionsnummer in der Fußzeile: was neu ist, was besser
-  wurde und welche Fehler behoben sind. Die Liste steht in `src/lib/changelog.ts` und ist
-  die einzige Quelle — ein Test hält sie und `package.json` zusammen, weil genau diese
-  beiden Angaben hier schon einmal auseinandergelaufen sind.
 
 ---
 
@@ -573,18 +275,11 @@ letzten Zustellung stehen an der Karte.
 | `Session` | Serverseitige Sitzungen (nur der Token-Hash) |
 | `Credential` | Passkeys inkl. öffentlichem Schlüssel und Signaturzähler |
 | `WebAuthnChallenge` | Kurzlebige, einmalig verwendbare Challenges |
-| `RecoveryCode` | Wiederherstellungscodes für die Zwei-Faktor-Anmeldung (nur der Hash) |
-| `PendingLogin` | Zwischenzustand zwischen Passwort und zweitem Faktor, fünf Minuten gültig |
 | `AppSettings` | Betriebsart und Registrierung (eine Zeile) |
-| `Project` | Projektstammdaten, Status, Fortschritt, Besitzer |
-| `Repository` | Repositories eines Projekts inkl. Abgleichstand (n:1 zu Projekt) |
-| `Task` | Aufgaben mit Spalte, Position, Fälligkeit, Labels, Wiederholung und Issue-Herkunft |
-| `ProjectTemplate` | Vorlagen je Konto: Stammdaten, Tags, Notizen und Aufgaben |
-| `Activity` | Verlauf je Projekt, neueste zuerst, auf 200 Einträge begrenzt |
-| `NotificationTarget` | Zustellwege je Konto, mit verschlüsseltem Geheimnis |
+| `Project` | Projektstammdaten, Status, Fortschritt, Repo-Verknüpfung, Besitzer |
 | `Note` | Notizen (n:1 zu Projekt, Cascade-Delete) |
 | `GitConnection` | Git-Systeme inkl. verschlüsseltem Token, Besitzer |
-| `RepoSnapshot` | Zwischengespeicherter Repo-Stand (1:1 zu Repository) |
+| `RepoSnapshot` | Zwischengespeicherter Repo-Stand (1:1 zu Projekt) |
 
 `Project.ownerId` und `GitConnection.ownerId` sind bewusst optional: so überleben Daten aus
 der Zeit vor der Benutzerverwaltung die Migration und werden beim Anlegen des ersten Kontos
@@ -633,58 +328,7 @@ nicht verloren gehen. Indizes auf Status, Verbindung und Änderungsdatum.
 - **Setup-Skript** erzeugt die `.env` samt zufälligem `APP_SECRET`.
 - **Seed-Daten** auf Wunsch, idempotent — mehrfaches Ausführen legt nichts doppelt an.
 
-### 6.4 Tests
-
-Zwei Ebenen. `npm run test:all` führt beide aus.
-
-**`npm test` — Unit-Tests** (Vitest, 56 Stück, unter einer Sekunde, ohne DOM und ohne
-Datenbank):
-
-| Bereich | Was geprüft wird |
-| --- | --- |
-| `utils` | Slug-Erzeugung inklusive Umlauten und Längenbegrenzung, Tag-Aufbereitung, Kürzen, Zahlenformat |
-| `git/parse` | URL-Zerlegung für https, SSH, verschachtelte GitLab-Gruppen und Oberflächenpfade; Provider-Erkennung; Bildung der Aktivitätskurve |
-| `security/ssrf` | Sperrlisten für Loopback, Link-Local, Metadaten-Endpunkt, CGNAT und Multicast; Formprüfung; die drei Umgebungsschalter |
-| `auth/password` | scrypt-Rundlauf, unterschiedliches Salz, Ablageformat, Verhalten bei kaputten Hashes, Passwortregeln |
-| `tasks` | Berechnung des abgeleiteten Fortschritts, Spaltenreihenfolge |
-| `notify/pending` | Wann eine Benachrichtigung fällig ist: neuer Fehler ja, gleicher Fehler nein; CI-Wechsel nach rot; Release erst ab dem zweiten Abgleich |
-| `notify/stale` | Stillstandsschwelle, keine Zweitmeldung, aber erneute Meldung nach zwischenzeitlicher Aktivität |
-| `validation` | Dass jeder Anlass, den die Oberfläche anbietet, auch vom Schema akzeptiert wird — entstanden aus genau diesem Fehler |
-
-**`npm run test:e2e` — Ende-zu-Ende** (Playwright, 13 Stück, rund 20 Sekunden). Läuft
-gegen die gebaute Anwendung mit eigener Datenbank auf Port 3111 — also durch Middleware,
-Authentifizierung, Validierung und Datenbank hindurch:
-
-| Datei | Was geprüft wird |
-| --- | --- |
-| `e2e/api.spec.ts` | Einrichtung sperrt sich nach dem ersten Konto · kein Zugriff ohne Anmeldung · fremdes Origin und falscher Content-Type abgewiesen · SSRF geblockt · **Datentrennung zwischen zwei Konten** · Aufgaben-Reihenfolge, abgeleiteter Fortschritt und untergeschobene IDs · Export ohne Geheimnisse, Import je Strategie |
-| `e2e/ui.spec.ts` | Anmelden · Projekt anlegen · Aufgaben anlegen und **per Ziehen verschieben** (inklusive Prüfung nach dem Neuladen) · Volltextsuche · Abmelden sperrt geschützte Seiten wieder |
-
-Zwei Dinge sind bewusst so gebaut:
-
-- **Die Testdatenbank kann nicht die echte sein.** `e2e/global-setup.ts` bricht ab, wenn
-  der Datenbankname nicht `test` enthält — vor dem `TRUNCATE`. Der teuerste denkbare
-  Fehler wäre eine Testreihe, die die Produktivdaten leert.
-- **Playwright startet den Server selbst** (`webServer` in `playwright.config.ts`) mit
-  eigener `DATABASE_URL` und eigenem Port. Eine laufende Instanz auf 3000 stört nicht.
-
-Einmalig vorbereiten:
-
-```bash
-docker exec nebula-db psql -U nebula -d postgres -c "CREATE DATABASE nebula_e2e_test"
-```
-
-### 6.5 Fortlaufende Prüfung
-
-`.gitea/workflows/ci.yml` prüft jeden Push und jeden Pull Request: Typen, Unit-Tests,
-Bau und Ende-zu-Ende-Tests gegen einen frischen PostgreSQL-Dienst. Schlägt etwas fehl,
-wird der Playwright-Bericht als Artefakt abgelegt.
-
-Dafür müssen in der Gitea-Instanz Actions aktiviert sein (`app.ini`: `[actions] ENABLED
-= true`) und ein Runner registriert. Die Syntax ist GitHub-kompatibel — für GitHub die
-Datei nach `.github/workflows/` kopieren.
-
-### 6.6 API
+### 6.4 API
 
 Zehn REST-Endpunkte für Projekte, Notizen, Verbindungen, Sync, Repo-Listen und Health.
 Alles, was die Oberfläche kann, ist damit auch scriptbar. Übersicht in der

README.md

@@ -31,8 +31,7 @@ Alle Daten liegen in **deiner lokalen PostgreSQL**. Es gibt keinen Cloud-Dienst
 Access Tokens werden verschlüsselt abgelegt.
 
 Eine vollständige Auflistung aller Funktionen steht in **[FEATURES.md](FEATURES.md)**,
-geplante Erweiterungen in **[ROADMAP.md](ROADMAP.md)**. Für den Dauerbetrieb auf einem
-Server — TLS, Firewall, Sicherungen und Updates — gibt es **[DEPLOYMENT.md](DEPLOYMENT.md)**.
+geplante Erweiterungen in **[ROADMAP.md](ROADMAP.md)**.
 
 ---
 
@@ -128,8 +127,6 @@ Alle Variablen sind in [`.env.example`](.env.example) dokumentiert.
 | `GIT_ALLOW_LOOPBACK` | Git-Instanz auf demselben Rechner erlauben | `false` |
 | `GIT_BLOCK_PRIVATE` | Zugriff ins private LAN sperren | `false` |
 | `GIT_ALLOWED_HOSTS` | Strengster Modus: nur diese Hosts erlauben | leer |
-| `NOTIFY_TIMEOUT_MS` | Timeout beim Zustellen von Benachrichtigungen | `10000` |
-| `SMTP_HOST` … `SMTP_FROM` | SMTP-Zugang; ohne `SMTP_HOST` steht der Weg „E-Mail" nicht zur Verfügung | leer |
 
 `APP_NAME`, `APP_TAGLINE` und `APP_URL` werden **zur Laufzeit** gelesen. Dasselbe
 Docker-Image lässt sich also ohne Neubau umbenennen oder unter einer anderen Adresse
@@ -301,12 +298,7 @@ nebula/
 | `npm run db:seed` | Beispielprojekte anlegen |
 | `npm run db:studio` | Prisma Studio öffnen |
 | `npm run db:reset` | Datenbank zurücksetzen (**löscht alles**) |
-| `npm test` | Unit-Tests (Vitest), unter einer Sekunde |
-| `npm run test:watch` | Tests im Beobachtungsmodus |
 | `npm run typecheck` | TypeScript prüfen |
-| `npm test` | Unit-Tests (Vitest, ohne Datenbank) |
-| `npm run test:e2e` | Ende-zu-Ende-Tests (Playwright, baut vorher) |
-| `npm run test:all` | Beides nacheinander |
 | `npm run docker:db` | Nur die Datenbank starten |
 | `npm run docker:up` / `docker:down` | Kompletten Stack starten / stoppen |
 | `npm run docker:tools` | Adminer auf `http://localhost:8080` |
@@ -325,15 +317,12 @@ ausschließlich Daten des angemeldeten Kontos.
 | `GET` | `/api/health` | Status inkl. Datenbankverbindung (Docker-Healthcheck) |
 | `POST` | `/api/auth/setup` | Administratorkonto anlegen (nur beim ersten Mal) |
 | `POST` | `/api/auth/login` `/api/auth/logout` `/api/auth/register` | Anmeldung |
-| `POST` | `/api/auth/mfa` | Zweiter Faktor: Einmalkennwort oder Wiederherstellungscode |
 | `GET` | `/api/auth/session` | Aktuelle Sitzung und Instanzzustand |
 | `POST` | `/api/auth/passkey/{login,register}/{options,verify}` | WebAuthn |
 | `PATCH` | `/api/account/profile` | Eigenes Profil |
 | `POST` | `/api/account/password` | Eigenes Passwort setzen |
 | `GET` `DELETE` | `/api/account/sessions` | Eigene Sitzungen / überall abmelden |
 | `PATCH` `DELETE` | `/api/account/passkeys/:id` | Passkey umbenennen / entfernen |
-| `GET` `POST` `PUT` `DELETE` | `/api/account/totp` | Zwei-Faktor: Zustand, einrichten, aktivieren, abschalten |
-| `POST` | `/api/account/totp/recovery` | Neue Wiederherstellungscodes |
 | `GET` `PATCH` | `/api/admin/settings` | Betriebsart, Registrierung, Abgleich (Admin) |
 | `POST` | `/api/admin/sync/run` | Abgleich sofort anstoßen (Admin) |
 | `GET` `POST` | `/api/admin/users` | Konten auflisten / anlegen (Admin) |
@@ -342,26 +331,9 @@ ausschließlich Daten des angemeldeten Kontos.
 | `GET` | `/api/projects/export` | Alle eigenen Projekte als JSON |
 | `GET` | `/api/projects/:id/export` | Ein Projekt (`?format=md` für Markdown) |
 | `POST` | `/api/projects/import` | Import, mit `dryRun` für die Vorschau |
-| `GET` `POST` | `/api/templates` | Projektvorlagen auflisten / anlegen |
-| `PATCH` `DELETE` | `/api/templates/:id` | Vorlage ändern / löschen |
-| `POST` | `/api/templates/from-project` | Aus einem Projekt eine Vorlage machen |
 | `GET` | `/api/admin/backup` | Vollständige Sicherung als JSON (Admin) |
-| `GET` | `/api/search?q=` | Volltextsuche über die eigenen Notizen |
-| `GET` `POST` | `/api/notifications` | Benachrichtigungsziele |
-| `PATCH` `DELETE` | `/api/notifications/:id` | Ziel ändern / entfernen |
-| `POST` | `/api/notifications/:id/test` | Testnachricht senden |
 | `GET` `PATCH` `DELETE` | `/api/projects/:id` | Projekt lesen / ändern / löschen |
-| `POST` | `/api/projects/:id/sync` | Alle Repositories des Projekts abgleichen |
-| `PATCH` | `/api/projects/reorder` | Neue Reihenfolge im Brett |
-| `POST` | `/api/projects/bulk` | Status, Tags oder Löschen für mehrere |
-| `GET` | `/api/projects/:id/activity` | Verlauf des Projekts (`?limit=`) |
-| `GET` `POST` | `/api/projects/:id/repositories` | Repositories des Projekts |
-| `PATCH` `DELETE` | `/api/repositories/:id` | Repository ändern / vom Projekt lösen |
-| `POST` | `/api/repositories/:id/sync` | Ein einzelnes Repository abgleichen |
-| `GET` `POST` | `/api/projects/:id/tasks` | Aufgaben des Projekts |
-| `PATCH` | `/api/projects/:id/tasks/reorder` | Neue Reihenfolge nach dem Ziehen |
-| `POST` | `/api/projects/:id/tasks/from-issues` | Offene Issues als Aufgaben übernehmen |
-| `PATCH` `DELETE` | `/api/tasks/:id` | Aufgabe ändern / löschen |
+| `POST` | `/api/projects/:id/sync` | Repo-Daten vom Git-System holen |
 | `GET` `POST` | `/api/projects/:id/notes` | Notizen des Projekts |
 | `PATCH` `DELETE` | `/api/notes/:id` | Notiz ändern / löschen |
 | `GET` `POST` | `/api/connections` | Git-Verbindungen |

ROADMAP.md

@@ -11,73 +11,131 @@ Was bereits steht, listet [FEATURES.md](FEATURES.md).
 
 ## 1 · Als Nächstes empfohlen
 
-### 1.1 Webhooks statt Polling `M`
+### 1.1 Markdown in Beschreibung und Notizen `S`
+
+Heute wird alles als reiner Text dargestellt. Mit Markdown werden aus
+`- [ ] Aufgabe` echte Checklisten, Codeblöcke bekommen Hervorhebung, Links
+werden klickbar.
+
+Zu beachten: HTML muss beim Rendern entfernt werden, sonst reißt es ein
+XSS-Loch. Mit `react-markdown` plus `rehype-sanitize` ist das sauber lösbar.
+
+### 1.2 Volltextsuche über Notizen `S`
+
+Die Suche im Board deckt Namen, Kurzbeschreibung und Tags ab — Notizen nicht.
+Postgres kann das nativ (`tsvector` mit deutscher Konfiguration), also ohne
+zusätzlichen Dienst.
+
+### 1.3 Kanban-Board mit Drag & Drop `M`
+
+Die gruppierte Ansicht gibt es schon, aber Statuswechsel geht nur über das
+Menü. Spalten mit Ziehen und Ablegen wären der natürlichere Weg.
+
+Bibliothek: `@dnd-kit` — leichtgewichtig, tastaturbedienbar. Auf Mobilgeräten
+bleibt die Listenansicht.
+
+---
+
+## 2 · Danach
+
+### 2.1 Offene Pull Requests und Issues als Liste `S`
+
+Aktuell werden sie nur gezählt. Titel, Autor, Alter und Link wären deutlich
+nützlicher — die Daten holen wir ohnehin schon ab.
+
+### 2.2 CI-Status je Branch `M`
+
+Grün oder rot direkt an der Projektkarte, gespeist aus GitHub Actions,
+GitLab Pipelines und Gitea Actions. Erfordert je Provider einen weiteren
+Endpunkt und einen zusätzlichen Token-Scope.
+
+### 2.3 Webhooks statt Polling `M`
 
 Ein Push aktualisiert den Snapshot sofort, statt bis zum nächsten Durchlauf
 zu warten. Braucht einen öffentlich erreichbaren Endpunkt mit
 Signaturprüfung je Provider — sinnvoll erst, wenn die Instanz von außen
 erreichbar ist. Der Zeitplan bleibt als Rückfalllösung.
 
----
+### 2.4 Commit-Aktivität als Verlauf `S`
 
-### 1.2 Läuft es noch? `M`
+Kleine Sparkline auf der Karte, Heatmap auf der Projektseite. Datenbasis ist
+da, es fehlt nur die Darstellung.
 
-Eine Health-Check-URL je Projekt, die der Zeitgeber regelmäßig anpingt.
-Nebula wüsste dann, ob ein Projekt nicht nur existiert, sondern auch läuft.
-Nutzt Zeitgeber und Benachrichtigungen, die es schon gibt. Der SSRF-Schutz
-greift dabei wie bei den Git-Aufrufen.
+### 2.5 Aufgaben und Checklisten `M`
 
-### 1.3 Persönliche API-Token `M`
+Eigene Entität statt Freitext-Notiz, mit Häkchen und automatisch
+berechnetem Fortschritt. Ersetzt das manuelle Schieben des Reglers.
 
-Derzeit geht die API nur mit Sitzungscookie. Ein Token je Konto würde
-`curl`-Aufrufe und Handy-Shortcuts erlauben — Idee aus dem Terminal anlegen,
-ohne den Browser zu öffnen. Nur der Hash in der Datenbank, wie bei den
-Sitzungen.
+### 2.6 Benachrichtigungen `M`
+
+Bei Sync-Fehlern, neuen Releases oder Projekten, die lange stillstehen.
+Kanäle: E-Mail (SMTP), ntfy, generischer Webhook. Zusammen mit dem
+automatischen Abgleich ergibt das ein brauchbares Frühwarnsystem.
 
 ---
 
-## 2 · Größere Brocken
+## 3 · Größere Brocken
 
-### 2.1 Passwort-Zurücksetzen per E-Mail `M`
+### 3.1 Automatisierte Tests und CI `L`
+
+Aktuell prüfe ich jede Änderung von Hand — Typecheck, Build, API-Durchläufe,
+Browser-Screenshots. Das gehört in eine Pipeline:
+
+- **Vitest** für die Logik: URL-Parsing, SSRF-Regeln, Passwort-Hashing,
+  Backoff-Berechnung
+- **Playwright** für die Wege durch die App: Einrichtung, Anmeldung,
+  Datentrennung
+- **GitHub Actions** oder Gitea Actions, je nachdem wohin du das Repo legst
+
+Aus meiner Sicht der wertvollste Punkt der ganzen Liste, sobald das Projekt
+länger lebt: er macht alles Weitere billiger und sicherer.
+
+### 3.2 Mehrere Repositories je Projekt `M`
+
+Frontend und Backend getrennt, aber ein Projekt. Erfordert eine Zwischen­tabelle
+und Anpassungen in der Anzeige.
+
+### 3.3 Zwei-Faktor per TOTP `M`
+
+Als Alternative zum Passkey — nützlich, wenn die Instanz aus dem Internet
+erreichbar ist und nicht jedes Gerät Passkeys kann.
+
+### 3.4 Passwort-Zurücksetzen per E-Mail `M`
 
 Heute setzt ein Administrator das Passwort neu. Selbstbedienung braucht SMTP
 und damit eine weitere Konfiguration — lohnt erst im Mehrbenutzerbetrieb.
 
-### 2.2 Mehrsprachigkeit `L`
+### 3.5 Mehrsprachigkeit `L`
 
 Die Oberfläche ist durchgängig deutsch verdrahtet. Englisch dazu wäre eine
 Voraussetzung, falls du das Projekt veröffentlichen willst.
 
 ---
 
-## 3 · Kleinigkeiten
+## 4 · Kleinigkeiten
 
 | Idee | Aufwand | Nutzen |
 | --- | --- | --- |
-| Wochenrückblick | `S` | „Was ist diese Woche passiert" über alle Projekte, aus dem Aktivitätsverlauf |
-| Globale Zeitleiste | `S` | Derselbe Verlauf, aber projektübergreifend als eigene Seite |
-| Suche über Aufgaben | `S` | Die Volltextsuche deckt bisher nur Notizen ab |
-| Suchtreffer in Notizen hervorheben | `S` | In der Notiz selbst, nicht nur in der Trefferliste |
-| Aufgabe ↔ Commit verknüpfen | `M` | Enthält ein Commit `#5`, wird die übernommene Aufgabe verlinkt |
-| Tastaturkürzel-Übersicht mit `?` | `S` | Es gibt inzwischen genug davon |
+| Schnellsuche per `Strg+K` | `S` | Springt direkt zu Projekt oder Aktion |
+| Mehrfachauswahl im Board | `S` | Status oder Tags für mehrere auf einmal |
+| Aktivitätsverlauf je Projekt | `S` | Wer hat wann was geändert |
+| Projektvorlagen | `S` | Neues Projekt mit vorgefüllten Tags und Notizen |
 | Hell/Dunkel umschaltbar | `M` | Aktuell nur dunkel |
 | Eigenes Logo und Farbe | `S` | Ergänzt `APP_NAME` |
+| PWA-Manifest | `S` | Auf dem Handy als App installierbar |
+| Barrierefreiheits-Durchsicht | `M` | Fokusreihenfolge, Screenreader, Kontraste |
+| `prisma.config.ts` | `S` | Beseitigt die Deprecation-Warnung vor Prisma 7 |
 | Audit-Log für Adminaktionen | `M` | Nachvollziehbar, wer Konten geändert hat |
 
 ---
 
-## 4 · Bewusst nicht
+## 5 · Bewusst nicht
 
 Damit klar ist, was **nicht** kommt und warum:
 
 - **Geteilte Projekte zwischen Konten.** Die Trennung ist derzeit hart und
   einfach zu prüfen. Freigaben bringen eine Rechteverwaltung mit sich — nur
   sinnvoll, wenn wirklich mehrere Leute zusammenarbeiten.
-- **Veraltete Abhängigkeiten prüfen.** Klingt verlockend, aber Renovate und
-  Dependabot machen das besser, und es wären viele Aufrufe an fremde
-  Registries — für eine Zahl, die im Repo selbst schon steht.
-- **Anhänge an Notizen.** Bräuchte Dateispeicher und damit eine zweite Sorge
-  bei jeder Sicherung. Ein Link ins Git tut es auch.
 - **Eigene Git-Operationen** (klonen, committen, pushen). Nebula ist eine
   Übersicht, keine Entwicklungsumgebung.
 - **Zeiterfassung, Rechnungen, Kundenverwaltung.** Andere Baustelle.
@@ -98,19 +156,6 @@ Damit klar ist, was **nicht** kommt und warum:
 | Docker- und Standalone-Betrieb | ✓ |
 | Automatischer Abgleich mit Zeitplan | ✓ |
 | Export, Import und Sicherung | ✓ |
-| **v0.3.0** Markdown, Volltextsuche über Notizen, PR- und Issue-Listen, Testfundament | ✓ |
-| **v0.4.0** Kanban mit Drag & Drop, CI-Status je Branch, Commit-Aktivität | ✓ |
-| **v0.5.0** Aufgabenbrett je Projekt mit sortierbaren Spalten, Fortschritt aus Aufgaben | ✓ |
-| **v0.6.0** Ende-zu-Ende-Tests mit Playwright, CI-Pipeline für Gitea Actions | ✓ |
-| **v0.7.0** Benachrichtigungen über ntfy, Webhook und E-Mail | ✓ |
-| **v0.8.0** Stillstehende Projekte melden, Schwelle im Adminbereich | ✓ |
-| **v0.9.0** Schnellsuche per `Strg+K`, Aufgaben aus Git-Issues | ✓ |
-| **v1.0.0** Aktivitätsverlauf je Projekt, Zwei-Faktor per TOTP, mehrere Repositories je Projekt | ✓ |
-| **v1.1.0** Freie Reihenfolge im Brett, Mehrfachauswahl, installierbar als App, Änderungsverlauf | ✓ |
-| **v1.2.0** Commit-Heatmap über ein Jahr, Projektvorlagen | ✓ |
-| **v1.3.0** Wiederkehrende Aufgaben, Barrierefreiheit nach WCAG 2.1 AA | ✓ |
-| **v1.4.0** README-Vorschau auf der Projektseite | ✓ |
-| **v1.5.0** Sicherheitsdurchsicht, Server-Anleitung und Update-Skript | ✓ |
 
 Zur Entscheidung beim Export: Git-Tokens gehen **nicht** mit. Die Verbindung wird nur
 beschrieben, das Token ist nach dem Import neu zu hinterlegen. Snapshots bleiben

docker-compose.yml

@@ -59,13 +59,6 @@ services:
       APP_URL: ${APP_URL:-http://localhost:3000}
       SESSION_TTL_DAYS: ${SESSION_TTL_DAYS:-30}
       GIT_API_TIMEOUT_MS: ${GIT_API_TIMEOUT_MS:-15000}
-      NOTIFY_TIMEOUT_MS: ${NOTIFY_TIMEOUT_MS:-10000}
-      SMTP_HOST: ${SMTP_HOST:-}
-      SMTP_PORT: ${SMTP_PORT:-587}
-      SMTP_SECURE: ${SMTP_SECURE:-}
-      SMTP_USER: ${SMTP_USER:-}
-      SMTP_PASSWORD: ${SMTP_PASSWORD:-}
-      SMTP_FROM: ${SMTP_FROM:-}
       GIT_ALLOW_LOOPBACK: ${GIT_ALLOW_LOOPBACK:-false}
       GIT_BLOCK_PRIVATE: ${GIT_BLOCK_PRIVATE:-false}
       GIT_ALLOWED_HOSTS: ${GIT_ALLOWED_HOSTS:-}

e2e/api.spec.ts

@@ -1,627 +0,0 @@
-import { expect, test, type APIRequestContext } from "@playwright/test";
-
-/**
- * Tests ueber HTTP gegen die laufende Anwendung – also durch Middleware,
- * Authentifizierung, Validierung und Datenbank hindurch. Genau die Dinge,
- * die Unit-Tests nicht erreichen.
- *
- * Die Tests bauen aufeinander auf und laufen in dieser Reihenfolge, weil sie
- * sich eine Datenbank teilen (siehe playwright.config.ts, workers: 1).
- */
-
-const ADMIN = { username: "chefin", password: "ein-langes-testpasswort" };
-const ZWEITER = { username: "zweiter", password: "noch-ein-langes-passwort" };
-
-async function login(request: APIRequestContext, user: { username: string; password: string }) {
-  const response = await request.post("/api/auth/login", { data: user });
-  expect(response.ok(), `Anmeldung als ${user.username}`).toBeTruthy();
-}
-
-test.describe.configure({ mode: "serial" });
-
-test("Einrichtung legt das erste Konto an und sperrt sich danach", async ({ request }) => {
-  const response = await request.post("/api/auth/setup", {
-    data: { ...ADMIN, mode: "MULTI_USER" },
-  });
-  expect(response.status()).toBe(200);
-  expect((await response.json()).user.role).toBe("ADMIN");
-
-  // Ein zweiter Aufruf darf kein weiteres Adminkonto erzeugen.
-  const wieder = await request.post("/api/auth/setup", {
-    data: { username: "eindringling", password: "ein-langes-testpasswort" },
-  });
-  expect(wieder.status()).toBe(409);
-});
-
-test("ohne Anmeldung ist nichts zu holen", async ({ playwright }) => {
-  const anonym = await playwright.request.newContext({ baseURL: test.info().project.use.baseURL });
-  for (const pfad of ["/api/projects", "/api/connections", "/api/admin/users"]) {
-    expect((await anonym.get(pfad)).status(), pfad).toBe(401);
-  }
-  await anonym.dispose();
-});
-
-test("Fremdes Origin wird abgewiesen", async ({ request }) => {
-  await login(request, ADMIN);
-  const response = await request.post("/api/projects", {
-    data: { name: "Von woanders" },
-    headers: { Origin: "https://boese.example" },
-  });
-  expect(response.status()).toBe(403);
-});
-
-test("Content-Type wird erzwungen", async ({ request }) => {
-  await login(request, ADMIN);
-  const response = await request.post("/api/projects", {
-    headers: { "Content-Type": "text/plain" },
-    data: JSON.stringify({ name: "Umgehung" }),
-  });
-  expect(response.status()).toBe(415);
-});
-
-test("SSRF: interne Adressen werden geblockt", async ({ request }) => {
-  await login(request, ADMIN);
-  for (const ziel of ["http://127.0.0.1:5432", "http://169.254.169.254", "http://0.0.0.0"]) {
-    const response = await request.post("/api/connections", {
-      data: { name: `ssrf-${ziel}`, provider: "GITEA", baseUrl: ziel },
-    });
-    expect(response.status(), ziel).toBe(422);
-  }
-});
-
-test("Datentrennung zwischen zwei Konten", async ({ request, playwright }) => {
-  await login(request, ADMIN);
-
-  const angelegt = await request.post("/api/projects", {
-    data: { name: "Geheimprojekt", status: "IN_DEVELOPMENT" },
-  });
-  expect(angelegt.status()).toBe(201);
-  const projektId = (await angelegt.json()).project.id;
-
-  const aufgabe = await request.post(`/api/projects/${projektId}/tasks`, {
-    data: { title: "Nicht fuer fremde Augen" },
-  });
-  expect(aufgabe.status()).toBe(201);
-  const aufgabenId = (await aufgabe.json()).task.id;
-
-  // Zweites Konto anlegen und in einem eigenen Kontext anmelden.
-  const neu = await request.post("/api/admin/users", {
-    data: { ...ZWEITER, role: "USER" },
-  });
-  expect(neu.status()).toBe(201);
-
-  const fremd = await playwright.request.newContext({
-    baseURL: test.info().project.use.baseURL,
-  });
-  await login(fremd, ZWEITER);
-
-  expect((await (await fremd.get("/api/projects")).json()).projects).toHaveLength(0);
-
-  // Fremde IDs muessen 404 liefern, nicht 403 – sonst waere die Existenz
-  // des Datensatzes bestaetigt.
-  expect((await fremd.get(`/api/projects/${projektId}`)).status()).toBe(404);
-  expect(
-    (await fremd.patch(`/api/projects/${projektId}`, { data: { name: "uebernommen" } })).status(),
-  ).toBe(404);
-  expect((await fremd.delete(`/api/projects/${projektId}`)).status()).toBe(404);
-  expect((await fremd.get(`/api/projects/${projektId}/tasks`)).status()).toBe(404);
-  expect((await fremd.patch(`/api/tasks/${aufgabenId}`, { data: { title: "x" } })).status()).toBe(
-    404,
-  );
-
-  // Adminwege bleiben zu.
-  expect((await fremd.get("/api/admin/users")).status()).toBe(403);
-  expect(
-    (await fremd.patch("/api/admin/settings", { data: { mode: "SINGLE_USER" } })).status(),
-  ).toBe(403);
-
-  // Und das Original ist unveraendert.
-  const danach = await (await request.get(`/api/projects/${projektId}`)).json();
-  expect(danach.project.name).toBe("Geheimprojekt");
-  expect(danach.project.tasks).toHaveLength(1);
-
-  await fremd.dispose();
-});
-
-test("Aufgaben: Reihenfolge, abgeleiteter Fortschritt, fremde IDs", async ({ request }) => {
-  await login(request, ADMIN);
-
-  const projekt = (
-    await (await request.post("/api/projects", { data: { name: "Aufgabenprojekt" } })).json()
-  ).project;
-
-  const titel = ["eins", "zwei", "drei"];
-  const ids: string[] = [];
-  for (const title of titel) {
-    const response = await request.post(`/api/projects/${projekt.id}/tasks`, {
-      data: { title, status: "TODO" },
-    });
-    ids.push((await response.json()).task.id);
-  }
-
-  // Neue Aufgaben haengen sich hinten an.
-  const angelegt = (await (await request.get(`/api/projects/${projekt.id}/tasks`)).json()).tasks;
-  expect(angelegt.map((task: { position: number }) => task.position)).toEqual([0, 1, 2]);
-
-  // Umdrehen.
-  const gedreht = [...ids].reverse();
-  const reorder = await request.patch(`/api/projects/${projekt.id}/tasks/reorder`, {
-    data: { columns: { TODO: gedreht } },
-  });
-  expect(reorder.ok()).toBeTruthy();
-  const nachher = (await (await request.get(`/api/projects/${projekt.id}/tasks`)).json()).tasks;
-  expect(nachher.map((task: { title: string }) => task.title)).toEqual(["drei", "zwei", "eins"]);
-
-  // Eine nach DONE – Fortschritt folgt, sobald eingeschaltet.
-  await request.patch(`/api/projects/${projekt.id}`, { data: { progressFromTasks: true } });
-  await request.patch(`/api/tasks/${ids[0]}`, { data: { status: "DONE" } });
-
-  const mitFortschritt = (
-    await (await request.get(`/api/projects/${projekt.id}`)).json()
-  ).project;
-  expect(mitFortschritt.progress).toBe(33);
-
-  // Eine ID aus einem anderen Projekt darf nicht verschoben werden.
-  const anderes = (
-    await (await request.post("/api/projects", { data: { name: "Anderes" } })).json()
-  ).project;
-  const fremdeAufgabe = (
-    await (
-      await request.post(`/api/projects/${anderes.id}/tasks`, { data: { title: "fremd" } })
-    ).json()
-  ).task;
-
-  const untergeschoben = await request.patch(`/api/projects/${projekt.id}/tasks/reorder`, {
-    data: { columns: { DOING: [fremdeAufgabe.id] } },
-  });
-  const ergebnis = await untergeschoben.json();
-  expect(ergebnis.updated).toBe(0);
-  expect(ergebnis.ignored).toBe(1);
-
-  const unveraendert = (
-    await (await request.get(`/api/projects/${anderes.id}/tasks`)).json()
-  ).tasks[0];
-  expect(unveraendert.status).toBe("TODO");
-});
-
-test("Issues als Aufgaben uebernehmen, ohne Dubletten", async ({ request }) => {
-  await login(request, ADMIN);
-
-  const projekt = (
-    await (await request.post("/api/projects", { data: { name: "Issue-Projekt" } })).json()
-  ).project;
-
-  // Ohne verknuepftes Repository gibt es nichts zu uebernehmen.
-  const ohneRepo = await request.post(`/api/projects/${projekt.id}/tasks/from-issues`, {
-    data: {},
-  });
-  expect(ohneRepo.status()).toBe(409);
-
-  // Mit Repository, aber ohne geholten Stand ebenfalls nicht – der Server
-  // laedt hier bewusst nichts nach.
-  await request.patch(`/api/projects/${projekt.id}`, {
-    data: { repoUrl: "https://github.com/vercel/swr" },
-  });
-  const ohneStand = await request.post(`/api/projects/${projekt.id}/tasks/from-issues`, {
-    data: {},
-  });
-  expect(ohneStand.status()).toBe(409);
-
-  // Nach einem bestimmten, das es nicht gibt, ist dagegen 404 richtig.
-  const fremdesRepo = await request.post(`/api/projects/${projekt.id}/tasks/from-issues`, {
-    data: { repositoryId: "gibt-es-nicht" },
-  });
-  expect(fremdesRepo.status()).toBe(404);
-});
-
-test("Mehrere Repositories je Projekt", async ({ request, playwright }) => {
-  await login(request, ADMIN);
-
-  // Beim Anlegen setzen die Git-Felder das fuehrende Repository.
-  const projekt = (
-    await (
-      await request.post("/api/projects", {
-        data: { name: "Zwei Teile", repoUrl: "https://github.com/vercel/swr" },
-      })
-    ).json()
-  ).project;
-
-  expect(projekt.repositories).toHaveLength(1);
-  expect(projekt.repositories[0].repoOwner).toBe("vercel");
-  expect(projekt.repositories[0].repoName).toBe("swr");
-
-  // Ein zweites dazu.
-  const zweites = await request.post(`/api/projects/${projekt.id}/repositories`, {
-    data: { label: "Backend", repoUrl: "https://github.com/vercel/next.js" },
-  });
-  expect(zweites.status()).toBe(201);
-  const backendId = (await zweites.json()).repository.id;
-
-  // Dasselbe Repo zweimal ist immer ein Versehen.
-  const doppelt = await request.post(`/api/projects/${projekt.id}/repositories`, {
-    data: { repoUrl: "https://github.com/vercel/next.js" },
-  });
-  expect(doppelt.status()).toBe(409);
-
-  // Halbe Angaben ergeben kein Repository.
-  const leer = await request.post(`/api/projects/${projekt.id}/repositories`, {
-    data: { label: "Nur ein Name" },
-  });
-  expect(leer.status()).toBe(422);
-
-  const geladen = (await (await request.get(`/api/projects/${projekt.id}`)).json()).project;
-  expect(geladen.repositories).toHaveLength(2);
-  // Das fuehrende steht vorn.
-  expect(geladen.repositories[0].repoName).toBe("swr");
-  expect(geladen.repositories[1].label).toBe("Backend");
-
-  // Der Projekt-PATCH bearbeitet weiterhin nur das fuehrende.
-  await request.patch(`/api/projects/${projekt.id}`, { data: { autoSync: false } });
-  const danach = (await (await request.get(`/api/projects/${projekt.id}`)).json()).project;
-  expect(danach.repositories[0].autoSync).toBe(false);
-  expect(danach.repositories[1].autoSync).toBe(true);
-
-  // Fremde Konten kommen an kein Repository.
-  const fremd = await playwright.request.newContext({
-    baseURL: test.info().project.use.baseURL,
-  });
-  await login(fremd, ZWEITER);
-  expect((await fremd.get(`/api/projects/${projekt.id}/repositories`)).status()).toBe(404);
-  expect((await fremd.patch(`/api/repositories/${backendId}`, { data: {} })).status()).toBe(404);
-  expect((await fremd.delete(`/api/repositories/${backendId}`)).status()).toBe(404);
-  expect((await fremd.post(`/api/repositories/${backendId}/sync`)).status()).toBe(404);
-  await fremd.dispose();
-
-  // Entfernen laesst das andere stehen.
-  expect((await request.delete(`/api/repositories/${backendId}`)).ok()).toBeTruthy();
-  const zumSchluss = (await (await request.get(`/api/projects/${projekt.id}`)).json()).project;
-  expect(zumSchluss.repositories).toHaveLength(1);
-  expect(zumSchluss.repositories[0].repoName).toBe("swr");
-});
-
-test("Brett: Reihenfolge und Mehrfachauswahl", async ({ request, playwright }) => {
-  await login(request, ADMIN);
-
-  const angelegt = [];
-  for (const name of ["Brett A", "Brett B", "Brett C"]) {
-    const response = await request.post("/api/projects", { data: { name, status: "IDEA" } });
-    angelegt.push((await response.json()).project);
-  }
-  // Neue Projekte haengen sich hinten an ihre Spalte an – fortlaufend, nicht
-  // alle auf denselben Platz. Absolut zaehlen laesst sich nicht: in der
-  // Spalte stehen schon Projekte aus frueheren Tests.
-  const [a, b, c] = angelegt.map((p) => p.position);
-  expect([b, c]).toEqual([a + 1, a + 2]);
-
-  const ids = angelegt.map((p) => p.id);
-  const vorher = angelegt[0].updatedAt;
-
-  // Umdrehen und dabei eines in eine andere Spalte schieben.
-  const gedreht = [ids[2], ids[1]];
-  const reorder = await request.patch("/api/projects/reorder", {
-    data: { columns: { IDEA: gedreht, IN_DEVELOPMENT: [ids[0]] } },
-  });
-  expect(reorder.ok()).toBeTruthy();
-
-  const alle = (await (await request.get("/api/projects")).json()).projects;
-  const finde = (id: string) => alle.find((p: { id: string }) => p.id === id);
-  expect(finde(ids[2]).position).toBe(0);
-  expect(finde(ids[1]).position).toBe(1);
-  expect(finde(ids[0]).status).toBe("IN_DEVELOPMENT");
-
-  // Reines Umsortieren darf das Aenderungsdatum nicht anfassen – sonst
-  // schoebe ein Aufraeumen im Brett alles in "Zuletzt geaendert" nach oben.
-  expect(new Date(finde(ids[1]).updatedAt).getTime()).toBe(
-    new Date(angelegt[1].updatedAt).getTime(),
-  );
-  // Das verschobene dagegen hat sich wirklich geaendert.
-  expect(new Date(finde(ids[0]).updatedAt).getTime()).toBeGreaterThan(
-    new Date(vorher).getTime(),
-  );
-
-  // Mehrfachauswahl: Tags ergaenzen und wieder entfernen.
-  const ergaenzt = await request.post("/api/projects/bulk", {
-    data: { ids, action: "tags", tags: ["Sammel", "test"], tagMode: "add" },
-  });
-  expect((await ergaenzt.json()).changed).toBe(3);
-  const mitTags = (await (await request.get("/api/projects")).json()).projects;
-  // Kleingeschrieben abgelegt, wie ueberall.
-  expect(mitTags.find((p: { id: string }) => p.id === ids[0]).tags).toContain("sammel");
-
-  const entfernt = await request.post("/api/projects/bulk", {
-    data: { ids, action: "tags", tags: ["sammel"], tagMode: "remove" },
-  });
-  expect((await entfernt.json()).changed).toBe(3);
-
-  // Status fuer mehrere: die Verschobenen landen hintereinander, nicht
-  // uebereinander auf derselben Position.
-  const verschoben = await request.post("/api/projects/bulk", {
-    data: { ids, action: "status", status: "PLANNING" },
-  });
-  expect((await verschoben.json()).changed).toBe(3);
-  const geplant = (await (await request.get("/api/projects?status=PLANNING")).json()).projects;
-  const positionen = geplant.map((p: { position: number }) => p.position).sort();
-  expect(new Set(positionen).size).toBe(positionen.length);
-
-  // Wer schon so steht, wird nicht noch einmal angefasst.
-  const nochmal = await request.post("/api/projects/bulk", {
-    data: { ids, action: "status", status: "PLANNING" },
-  });
-  expect((await nochmal.json()).changed).toBe(0);
-
-  // Fremde IDs fallen still unter den Tisch, statt etwas anzurichten.
-  const fremd = await playwright.request.newContext({
-    baseURL: test.info().project.use.baseURL,
-  });
-  await login(fremd, ZWEITER);
-  const untergeschoben = await fremd.post("/api/projects/bulk", {
-    data: { ids, action: "delete" },
-  });
-  expect((await untergeschoben.json()).changed).toBe(0);
-  const uebrig = (await (await request.get("/api/projects")).json()).projects;
-  expect(uebrig.filter((p: { id: string }) => ids.includes(p.id))).toHaveLength(3);
-
-  const fremdSortieren = await fremd.patch("/api/projects/reorder", {
-    data: { columns: { DONE: ids } },
-  });
-  expect((await fremdSortieren.json()).updated).toBe(0);
-  await fremd.dispose();
-
-  // Und zum Schluss die eigenen wirklich loeschen.
-  const geloescht = await request.post("/api/projects/bulk", {
-    data: { ids, action: "delete" },
-  });
-  expect((await geloescht.json()).changed).toBe(3);
-});
-
-test("Wiederkehrende Aufgaben legen die naechste Fassung an", async ({ request }) => {
-  await login(request, ADMIN);
-
-  const projekt = (
-    await (await request.post("/api/projects", { data: { name: "Wiederkehrend" } })).json()
-  ).project;
-
-  const woechentlich = (
-    await (
-      await request.post(`/api/projects/${projekt.id}/tasks`, {
-        data: {
-          title: "Abhaengigkeiten pruefen",
-          dueDate: "2026-07-06T12:00:00",
-          recurrence: "WEEKLY",
-          labels: ["wartung"],
-        },
-      })
-    ).json()
-  ).task;
-
-  // Ein Zwischenschritt loest noch nichts aus.
-  await request.patch(`/api/tasks/${woechentlich.id}`, { data: { status: "DOING" } });
-  let alle = (await (await request.get(`/api/projects/${projekt.id}/tasks`)).json()).tasks;
-  expect(alle).toHaveLength(1);
-
-  // Erst der Uebergang nach ERLEDIGT.
-  const erledigt = await request.patch(`/api/tasks/${woechentlich.id}`, {
-    data: { status: "DONE" },
-  });
-  expect((await erledigt.json()).next).not.toBeNull();
-
-  alle = (await (await request.get(`/api/projects/${projekt.id}/tasks`)).json()).tasks;
-  expect(alle).toHaveLength(2);
-
-  const folge = alle.find((task: { id: string }) => task.id !== woechentlich.id);
-  expect(folge.status).toBe("TODO");
-  expect(folge.title).toBe("Abhaengigkeiten pruefen");
-  expect(folge.labels).toEqual(["wartung"]);
-  expect(folge.recurrence).toBe("WEEKLY");
-  expect(folge.recurredFrom).toBe(woechentlich.id);
-  // Der Termin liegt in der Zukunft und auf demselben Wochentag.
-  expect(new Date(folge.dueDate).getTime()).toBeGreaterThan(Date.now());
-  expect(new Date(folge.dueDate).getUTCDay()).toBe(1);
-
-  // Erneut speichern erzeugt keine dritte.
-  await request.patch(`/api/tasks/${woechentlich.id}`, { data: { title: "Umbenannt" } });
-  alle = (await (await request.get(`/api/projects/${projekt.id}/tasks`)).json()).tasks;
-  expect(alle).toHaveLength(2);
-
-  // Der zweite Weg: durch Ziehen in die Spalte ERLEDIGT.
-  const gezogen = await request.patch(`/api/projects/${projekt.id}/tasks/reorder`, {
-    data: { columns: { DONE: [folge.id] } },
-  });
-  expect(gezogen.ok()).toBeTruthy();
-
-  alle = (await (await request.get(`/api/projects/${projekt.id}/tasks`)).json()).tasks;
-  expect(alle).toHaveLength(3);
-  expect(alle.filter((task: { status: string }) => task.status === "TODO")).toHaveLength(1);
-
-  // Eine einmalige Aufgabe bleibt einmalig.
-  const einmalig = (
-    await (
-      await request.post(`/api/projects/${projekt.id}/tasks`, { data: { title: "Nur einmal" } })
-    ).json()
-  ).task;
-  await request.patch(`/api/tasks/${einmalig.id}`, { data: { status: "DONE" } });
-  alle = (await (await request.get(`/api/projects/${projekt.id}/tasks`)).json()).tasks;
-  expect(alle).toHaveLength(4);
-});
-
-test("Projektvorlagen: aus Projekt sichern und anwenden", async ({ request, playwright }) => {
-  await login(request, ADMIN);
-
-  // Ein Projekt herrichten, das als Vorlage taugt.
-  const quelle = (
-    await (
-      await request.post("/api/projects", {
-        data: { name: "Vorlagenquelle", status: "PLANNING", priority: 3, tags: ["web", "docker"] },
-      })
-    ).json()
-  ).project;
-
-  await request.post(`/api/projects/${quelle.id}/notes`, {
-    data: { content: "Checkliste vor dem Start." },
-  });
-  const erledigt = (
-    await (
-      await request.post(`/api/projects/${quelle.id}/tasks`, { data: { title: "Schon fertig" } })
-    ).json()
-  ).task;
-  await request.patch(`/api/tasks/${erledigt.id}`, { data: { status: "DONE" } });
-  await request.post(`/api/projects/${quelle.id}/tasks`, { data: { title: "Repo anlegen" } });
-  await request.post(`/api/projects/${quelle.id}/tasks`, { data: { title: "CI einrichten" } });
-
-  const gesichert = await request.post("/api/templates/from-project", {
-    data: { projectId: quelle.id, name: "Web-App", description: "Mit Docker und CI" },
-  });
-  expect(gesichert.status()).toBe(201);
-  const vorlage = (await gesichert.json()).template;
-
-  expect(vorlage.tags).toEqual(["web", "docker"]);
-  expect(vorlage.status).toBe("PLANNING");
-  expect(vorlage.notes).toHaveLength(1);
-  // Erledigte Aufgaben kommen nicht mit: eine Vorlage beschreibt, was zu tun ist.
-  expect(vorlage.tasks).toHaveLength(2);
-  expect(vorlage.tasks.map((task: { title: string }) => task.title)).not.toContain("Schon fertig");
-
-  // Derselbe Name ein zweites Mal wird abgewiesen.
-  const doppelt = await request.post("/api/templates/from-project", {
-    data: { projectId: quelle.id, name: "Web-App" },
-  });
-  expect(doppelt.status()).toBe(409);
-
-  // Anwenden: Notizen und Aufgaben entstehen mit dem Projekt.
-  const neu = (
-    await (
-      await request.post("/api/projects", {
-        data: { name: "Aus Vorlage", status: "IDEA", templateId: vorlage.id },
-      })
-    ).json()
-  ).project;
-
-  const geladen = (await (await request.get(`/api/projects/${neu.id}`)).json()).project;
-  expect(geladen.notes).toHaveLength(1);
-  expect(geladen.tasks).toHaveLength(2);
-  // Die Reihenfolge der Vorlage bleibt erhalten.
-  expect(geladen.tasks.map((task: { title: string }) => task.title)).toEqual([
-    "Repo anlegen",
-    "CI einrichten",
-  ]);
-  // Der ausdrueckliche Status gewinnt gegen den der Vorlage.
-  expect(geladen.status).toBe("IDEA");
-
-  // Der Verlauf haelt die Herkunft fest.
-  const verlauf = (await (await request.get(`/api/projects/${neu.id}/activity`)).json()).activities;
-  expect(verlauf.some((entry: { summary: string }) => entry.summary.includes("Web-App"))).toBe(true);
-
-  // Eine fremde Vorlage laesst sich nicht unterschieben.
-  const fremd = await playwright.request.newContext({
-    baseURL: test.info().project.use.baseURL,
-  });
-  await login(fremd, ZWEITER);
-  expect((await (await fremd.get("/api/templates")).json()).templates).toHaveLength(0);
-  const untergeschoben = await fremd.post("/api/projects", {
-    data: { name: "Klau", templateId: vorlage.id },
-  });
-  expect(untergeschoben.status()).toBe(404);
-  expect((await fremd.delete(`/api/templates/${vorlage.id}`)).status()).toBe(404);
-  await fremd.dispose();
-
-  // Und die Vorlage ueberlebt das Loeschen ihres Ursprungsprojekts.
-  await request.delete(`/api/projects/${quelle.id}`);
-  const nochDa = (await (await request.get("/api/templates")).json()).templates;
-  expect(nochDa).toHaveLength(1);
-
-  expect((await request.delete(`/api/templates/${vorlage.id}`)).ok()).toBeTruthy();
-});
-
-test("Der Bildoptimierer ist zu", async ({ playwright }) => {
-  // /_next/image reicht jedes Bild durch sharp und damit durch libvips, fuer
-  // das es regelmaessig Schwachstellen gibt. Nebula benutzt next/image
-  // nirgends – der Endpunkt darf ohne Anmeldung nicht antworten.
-  const anonym = await playwright.request.newContext({
-    baseURL: test.info().project.use.baseURL,
-    maxRedirects: 0,
-  });
-  const antwort = await anonym.get("/_next/image?url=%2Ficon-192.png&w=64&q=75");
-  expect(antwort.status(), "kein 200 ohne Anmeldung").not.toBe(200);
-  await anonym.dispose();
-});
-
-test("Export enthaelt keine Geheimnisse, Import beachtet die Strategie", async ({ request }) => {
-  await login(request, ADMIN);
-
-  await request.post("/api/connections", {
-    data: {
-      name: "Mit Token",
-      provider: "GITEA",
-      baseUrl: "https://gitea.example.com",
-      token: "streng-geheimes-token",
-    },
-  });
-
-  const roh = await (await request.get("/api/projects/export")).text();
-  expect(roh).not.toContain("streng-geheimes-token");
-  expect(roh).not.toContain("tokenCipher");
-  expect(roh).not.toContain("ownerId");
-
-  const datei = JSON.parse(roh);
-  const vorher = datei.projects.length;
-
-  // Version 2: die Repositories stehen als Liste in der Datei.
-  expect(datei.version).toBe(2);
-  const mitRepo = datei.projects.find((entry: { name: string }) => entry.name === "Zwei Teile");
-  expect(mitRepo.repositories).toHaveLength(1);
-  expect(mitRepo.repositories[0].repoName).toBe("swr");
-
-  // Ueberspringen aendert nichts.
-  const uebersprungen = await request.post("/api/projects/import", {
-    data: { data: datei, strategy: "skip", dryRun: false },
-  });
-  expect((await uebersprungen.json()).summary.skipped).toBe(vorher);
-
-  // Zusaetzlich anlegen verdoppelt.
-  const zusaetzlich = await request.post("/api/projects/import", {
-    data: { data: datei, strategy: "rename", dryRun: false },
-  });
-  expect((await zusaetzlich.json()).summary.renamed).toBe(vorher);
-
-  const jetzt = (await (await request.get("/api/projects")).json()).projects;
-  expect(jetzt).toHaveLength(vorher * 2);
-
-  // Muell wird abgewiesen.
-  const muell = await request.post("/api/projects/import", {
-    data: { data: { irgendwas: true }, strategy: "skip", dryRun: true },
-  });
-  expect(muell.status()).toBe(422);
-});
-
-test("Dateien der Version 1 bleiben lesbar", async ({ request }) => {
-  await login(request, ADMIN);
-
-  // Damals stand genau ein Repository flach am Projekt. Wer eine solche
-  // Sicherung liegen hat, soll sie weiterhin einspielen koennen.
-  const alt = {
-    kind: "nebula.projects",
-    version: 1,
-    projects: [
-      {
-        name: "Aus Version eins",
-        repoUrl: "https://github.com/vercel/swr",
-        repoOwner: "vercel",
-        repoName: "swr",
-        autoSync: false,
-      },
-    ],
-  };
-
-  const gelesen = await request.post("/api/projects/import", {
-    data: { data: alt, strategy: "rename", dryRun: false },
-  });
-  expect(gelesen.ok()).toBeTruthy();
-
-  const projekte = (await (await request.get("/api/projects")).json()).projects;
-  const uebernommen = projekte.find(
-    (entry: { name: string }) => entry.name === "Aus Version eins",
-  );
-  expect(uebernommen.repositories).toHaveLength(1);
-  expect(uebernommen.repositories[0].repoOwner).toBe("vercel");
-  expect(uebernommen.repositories[0].autoSync).toBe(false);
-});

e2e/global-setup.ts

@@ -1,62 +0,0 @@
-import { execFileSync } from "node:child_process";
-import { PrismaClient } from "@prisma/client";
-
-/**
- * Bereitet die Testdatenbank vor: Schema einspielen und leeren.
- *
- * Die Datenbank muss vorher existieren. Anlegen ist bewusst nicht Teil des
- * Setups – in CI erzeugt sie der Postgres-Dienst, oertlich einmalig:
- *
- *   docker exec nebula-db psql -U nebula -d postgres -c "CREATE DATABASE nebula_e2e_test"
- */
-
-const DATABASE_URL =
-  process.env.E2E_DATABASE_URL ??
-  "postgresql://nebula:nebula@localhost:5432/nebula_e2e_test?schema=public";
-
-/**
- * Reihenfolge egal, weil CASCADE – aber vollstaendig muss sie sein, sonst
- * schleppen Laeufe Reste mit.
- */
-const TABLES = [
-  "Task",
-  "Note",
-  "RepoSnapshot",
-  "Project",
-  "Credential",
-  "Session",
-  "WebAuthnChallenge",
-  "GitConnection",
-  "User",
-  "AppSettings",
-];
-
-export default async function globalSetup() {
-  const name = new URL(DATABASE_URL).pathname.replace(/^\//, "");
-
-  // Schutz vor dem teuersten aller Fehler: eine Testreihe, die die echte
-  // Datenbank leert. Der Name muss "test" enthalten, sonst passiert nichts.
-  if (!name.includes("test")) {
-    throw new Error(
-      `Die Testdatenbank heisst "${name}" und enthaelt nicht "test". ` +
-        "Aus Sicherheitsgruenden abgebrochen – E2E_DATABASE_URL pruefen.",
-    );
-  }
-
-  console.log(`[e2e] Datenbank: ${name}`);
-
-  execFileSync("npx", ["prisma", "migrate", "deploy"], {
-    env: { ...process.env, DATABASE_URL },
-    stdio: "pipe",
-    shell: process.platform === "win32",
-  });
-
-  const prisma = new PrismaClient({ datasources: { db: { url: DATABASE_URL } } });
-  try {
-    const list = TABLES.map((table) => `"${table}"`).join(", ");
-    await prisma.$executeRawUnsafe(`TRUNCATE TABLE ${list} RESTART IDENTITY CASCADE`);
-    console.log("[e2e] Datenbank geleert.");
-  } finally {
-    await prisma.$disconnect();
-  }
-}

e2e/ui.spec.ts

@@ -1,205 +0,0 @@
-import { expect, test } from "@playwright/test";
-
-/**
- * Ein Weg durch die Oberflaeche, wie ihn ein Mensch geht: anmelden, Projekt
- * anlegen, Aufgaben verwalten. Keine Vollabdeckung – die Wege, die kaputt
- * gehen duerfen, ohne dass es jemand merkt.
- *
- * Setzt voraus, dass api.spec.ts das Konto bereits angelegt hat; laeuft
- * alphabetisch danach.
- */
-
-const KONTO = { username: "chefin", password: "ein-langes-testpasswort" };
-
-test.describe.configure({ mode: "serial" });
-
-test.beforeEach(async ({ page }) => {
-  await page.goto("/login");
-  await page.fill("#login-username", KONTO.username);
-  await page.fill("#login-password", KONTO.password);
-  await page.click('button[type="submit"]');
-  await expect(page.getByText("Vibe Coding Kontrollzentrum")).toBeVisible();
-});
-
-test("Dashboard zeigt Kennzahlen und Projekte", async ({ page }) => {
-  await expect(page.getByRole("heading", { name: /Deine Projekte/ })).toBeVisible();
-  await expect(page.getByText("Projekte", { exact: false }).first()).toBeVisible();
-  // Keine unbeabsichtigten Fehler in der Konsole.
-  expect(page.url()).toContain("/");
-});
-
-test("Projekt anlegen und wiederfinden", async ({ page }) => {
-  await page.getByRole("button", { name: /Neues Projekt/ }).click();
-  await expect(page.getByRole("dialog")).toBeVisible();
-
-  await page.fill("#project-name", "Oberflaechentest");
-  await page.fill("#project-summary", "Von Playwright angelegt.");
-  await page.getByRole("button", { name: "Projekt anlegen" }).click();
-
-  await expect(page.getByRole("dialog")).toBeHidden();
-  await expect(page.getByText("Oberflaechentest")).toBeVisible();
-});
-
-test("Aufgaben anlegen und per Ziehen verschieben", async ({ page }) => {
-  await page.getByRole("link", { name: /Projekt Oberflaechentest/ }).click();
-  await expect(page.getByRole("heading", { name: "Oberflaechentest" })).toBeVisible();
-
-  // Zwei Aufgaben ueber den Dialog anlegen.
-  for (const titel of ["Erste Aufgabe", "Zweite Aufgabe"]) {
-    await page.getByRole("button", { name: "Aufgabe", exact: true }).click();
-    await expect(page.getByRole("dialog")).toBeVisible();
-    await page.fill("#task-title", titel);
-    await page.getByRole("button", { name: "Anlegen" }).click();
-    await expect(page.getByRole("dialog")).toBeHidden();
-  }
-
-  const offen = page.locator('[data-task-column="TODO"]');
-  const inArbeit = page.locator('[data-task-column="DOING"]');
-  await expect(offen.getByText("Erste Aufgabe")).toBeVisible();
-  await expect(offen.getByText("Zweite Aufgabe")).toBeVisible();
-
-  // Erste Aufgabe nach "In Arbeit" ziehen.
-  const griff = offen.locator('button[aria-label$="verschieben"]').first();
-  const von = await griff.boundingBox();
-  const nach = await inArbeit.boundingBox();
-  expect(von && nach).toBeTruthy();
-
-  await page.mouse.move(von!.x + von!.width / 2, von!.y + von!.height / 2);
-  await page.mouse.down();
-  // Erst ueber die Aktivierungsschwelle des Sensors (5 Pixel) hinaus.
-  await page.mouse.move(von!.x + 30, von!.y + 10, { steps: 6 });
-  await page.mouse.move(nach!.x + nach!.width / 2, nach!.y + 60, { steps: 20 });
-  // dnd-kit wertet die Bewegung in einem eigenen Frame aus. Ohne diese
-  // Pause faende das Loslassen noch kein Ziel und die Karte spraenge zurueck.
-  await page.waitForTimeout(250);
-
-  // Auf die Antwort warten, bevor neu geladen wird. Sonst bricht das Neuladen
-  // den noch laufenden Aufruf ab, und der Test schlaegt gelegentlich fehl,
-  // obwohl die Anwendung in Ordnung ist – genau so ist es passiert.
-  const gespeichert = page.waitForResponse(
-    (response) => response.url().includes("/tasks/reorder") && response.request().method() === "PATCH",
-  );
-  await page.mouse.up();
-
-  await expect(inArbeit.getByText("Erste Aufgabe")).toBeVisible();
-  expect((await gespeichert).ok()).toBeTruthy();
-
-  // Und der Server hat es auch so gespeichert.
-  await page.reload();
-  await expect(
-    page.locator('[data-task-column="DOING"]').getByText("Erste Aufgabe"),
-  ).toBeVisible();
-});
-
-test("Volltextsuche findet Notizen", async ({ page }) => {
-  await page.getByRole("link", { name: /Projekt Oberflaechentest/ }).click();
-  await page.getByRole("button", { name: "Notiz", exact: true }).click();
-
-  await page.getByPlaceholder(/Gedanken/).fill("Suchbegriff Zaunkoenig steht hier.");
-  await page.getByRole("button", { name: "Speichern" }).click();
-  await expect(page.getByText("Zaunkoenig", { exact: false })).toBeVisible();
-
-  // exact, sonst trifft es auch "Zurueck zum Dashboard".
-  await page.getByRole("link", { name: "Dashboard", exact: true }).click();
-  await page.getByPlaceholder(/durchsuchen/).fill("Zaunkoenig");
-
-  await expect(page.getByText("Treffer in Notizen")).toBeVisible();
-});
-
-test("Schnellsuche findet Projekt und Notiz", async ({ page }) => {
-  await page.keyboard.press("Control+k");
-  await expect(page.getByRole("dialog", { name: "Schnellsuche" })).toBeVisible();
-
-  // Ohne Eingabe stehen Projekte und Bereiche bereit.
-  await expect(page.getByRole("dialog").getByText("Oberflaechentest")).toBeVisible();
-
-  await page.getByPlaceholder(/Projekt, Notiz oder Bereich/).fill("Zaunkoenig");
-  await expect(page.getByRole("dialog").getByText(/in Oberflaechentest/)).toBeVisible();
-
-  // Enter springt zum ersten Treffer.
-  await page.keyboard.press("Enter");
-  await expect(page.getByRole("heading", { name: "Oberflaechentest" })).toBeVisible();
-
-  // Escape schliesst wieder.
-  await page.keyboard.press("Control+k");
-  await expect(page.getByRole("dialog", { name: "Schnellsuche" })).toBeVisible();
-  await page.keyboard.press("Escape");
-  await expect(page.getByRole("dialog", { name: "Schnellsuche" })).toBeHidden();
-});
-
-test("Mehrfachauswahl aendert mehrere Projekte auf einmal", async ({ page }) => {
-  const kaestchen = page.locator('input[aria-label$="auswaehlen"]');
-  const anzahl = await kaestchen.count();
-  expect(anzahl).toBeGreaterThan(0);
-
-  // Ohne Auswahl gibt es keine Leiste – sie soll nicht dauerhaft im Weg sein.
-  await expect(page.getByText(/ausgewählt/)).toBeHidden();
-
-  await kaestchen.first().check();
-  await expect(page.getByText("1 ausgewählt")).toBeVisible();
-
-  await page.getByRole("button", { name: "Tags", exact: true }).click();
-  await page.fill("#bulk-tags", "sammeltest");
-  await page.getByRole("button", { name: "Hinzufügen" }).click();
-
-  await expect(page.getByText("#sammeltest").first()).toBeVisible();
-  // Nach getaner Arbeit ist die Auswahl aufgehoben.
-  await expect(page.getByText(/ausgewählt/)).toBeHidden();
-});
-
-test("Die Versionsnummer oeffnet den Aenderungsverlauf", async ({ page }) => {
-  await page.getByRole("button", { name: /^v\d+\.\d+\.\d+$/ }).click();
-
-  // Ueber die Rolle, nicht ueber den Text: das Wort steht auch in einem der
-  // Eintraege, und ein blosser Textvergleich waere mehrdeutig.
-  const dialog = page.getByRole("dialog", { name: "Änderungsverlauf" });
-  await expect(dialog).toBeVisible();
-  // Die laufende Fassung ist als solche gekennzeichnet.
-  await expect(dialog.getByText("installiert")).toBeVisible();
-  // Und es steht wirklich etwas drin.
-  await expect(dialog.getByRole("heading", { level: 3 }).first()).toBeVisible();
-  await expect(dialog.getByText("Neu").first()).toBeVisible();
-
-  await page.keyboard.press("Escape");
-  await expect(dialog).toBeHidden();
-});
-
-test("Das Manifest liegt bereit, auch ohne Anmeldung", async ({ page, playwright }) => {
-  const anonym = await playwright.request.newContext({
-    baseURL: test.info().project.use.baseURL,
-  });
-
-  // Ohne diesen Weg an der Zugangsschranke vorbei liesse sich die Anwendung
-  // nicht installieren: der Browser holt das Manifest, bevor jemand angemeldet ist.
-  const antwort = await anonym.get("/manifest.webmanifest");
-  expect(antwort.ok()).toBeTruthy();
-
-  const manifest = await antwort.json();
-  expect(manifest.name).toContain("Nebula");
-  expect(manifest.display).toBe("standalone");
-  expect(manifest.icons.some((icon: { purpose: string }) => icon.purpose === "maskable")).toBe(true);
-
-  for (const icon of manifest.icons) {
-    const bild = await anonym.get(icon.src);
-    expect(bild.ok(), icon.src).toBeTruthy();
-    expect(bild.headers()["content-type"]).toContain("image/png");
-  }
-
-  await anonym.dispose();
-
-  // Die Seite muss ein Symbol verweisen. Fehlt es, sucht der Browser
-  // /favicon.ico – das es hier nicht gibt, und die Konsole fuellt sich mit
-  // 404ern. Genau das ist beim Ergaenzen des Apple-Symbols passiert.
-  await page.goto("/");
-  await expect(page.locator('link[rel="icon"]').first()).toHaveAttribute("href", /icon/);
-});
-
-test("Abmelden fuehrt zurueck zur Anmeldung", async ({ page }) => {
-  await page.getByRole("button", { name: /Benutzermenue/ }).click();
-  await page.getByRole("menuitem", { name: "Abmelden" }).click();
-  await expect(page).toHaveURL(/\/login/);
-
-  // Und die geschuetzte Seite ist wieder zu.
-  await page.goto("/");
-  await expect(page).toHaveURL(/\/login/);
-});

next.config.ts

@@ -9,21 +9,6 @@ const nextConfig: NextConfig = {
   poweredByHeader: false,
   // Prisma darf nicht gebundlet werden, sonst findet der Client seine Engine nicht.
   serverExternalPackages: ["@prisma/client", "prisma"],
-  images: {
-    /**
-     * Der Bildoptimierer ist abgeschaltet.
-     *
-     * Nebula benutzt next/image nirgends – die paar Symbole sind SVG und
-     * PNG in fester Groesse. Der Endpunkt /_next/image waere aber trotzdem
-     * da, und zwar ohne Anmeldung: die Middleware nimmt ihn aus, weil dort
-     * sonst nur Rechenzeit verbraucht wuerde.
-     *
-     * Er reicht jedes Bild durch sharp und damit durch libvips, fuer das es
-     * regelmaessig Schwachstellen gibt (aktuell CVE-2026-33327 und drei
-     * weitere). Eine Angriffsflaeche ohne Gegenwert – also weg damit.
-     */
-    unoptimized: true,
-  },
 };
 
 export default nextConfig;

package.json

@@ -1,6 +1,6 @@
 {
   "name": "nebula",
-  "version": "1.5.0",
+  "version": "0.1.0",
   "private": true,
   "description": "Nebula – Dashboard fuer Vibe-Coding Projekte mit Git-Anbindung (GitHub, GitLab, Gitea)",
   "scripts": {
@@ -23,46 +23,30 @@
     "docker:logs": "docker compose --profile full logs -f app",
     "docker:tools": "docker compose --profile tools up -d",
     "setup": "node scripts/setup.mjs",
-    "postinstall": "prisma generate",
-    "test": "vitest run",
-    "test:watch": "vitest",
-    "test:e2e": "npm run build && playwright test",
-    "test:e2e:ui": "playwright test --ui",
-    "test:all": "npm test && npm run test:e2e"
+    "postinstall": "prisma generate"
+  },
+  "prisma": {
+    "seed": "tsx prisma/seed.ts"
   },
   "dependencies": {
-    "@dnd-kit/core": "^6.3.1",
-    "@dnd-kit/modifiers": "^9.0.0",
-    "@dnd-kit/sortable": "^10.0.0",
     "@prisma/client": "^6.8.2",
     "@simplewebauthn/browser": "^13.3.0",
     "@simplewebauthn/server": "^13.3.2",
     "lucide-react": "^0.511.0",
     "next": "^15.3.3",
-    "nodemailer": "^9.0.3",
-    "qrcode": "^1.5.4",
     "react": "^19.1.0",
     "react-dom": "^19.1.0",
-    "react-markdown": "^10.1.0",
-    "rehype-sanitize": "^6.0.0",
-    "remark-gfm": "^4.0.1",
     "zod": "^3.25.28"
   },
   "devDependencies": {
-    "@playwright/test": "^1.62.0",
     "@tailwindcss/postcss": "^4.1.7",
     "@types/node": "^22.15.21",
-    "@types/nodemailer": "^8.0.1",
-    "@types/qrcode": "^1.5.6",
     "@types/react": "^19.1.5",
     "@types/react-dom": "^19.1.5",
-    "axe-core": "^4.12.1",
-    "dotenv": "^17.4.2",
     "prisma": "^6.8.2",
     "tailwindcss": "^4.1.7",
     "tsx": "^4.19.4",
-    "typescript": "^5.8.3",
-    "vitest": "^4.1.10"
+    "typescript": "^5.8.3"
   },
   "engines": {
     "node": ">=20.11"

playwright.config.ts

@@ -1,63 +0,0 @@
-import { defineConfig } from "@playwright/test";
-
-/**
- * Ende-zu-Ende-Tests gegen die echte Anwendung.
- *
- * Playwright startet den Produktionsserver selbst und richtet ihn auf eine
- * eigene Datenbank. Der Port ist bewusst ein anderer als 3000 und 3100,
- * damit eine laufende Instanz nicht stoert.
- *
- * Voraussetzung: ein Bau (`npm run build`) und eine leere Datenbank, deren
- * Name "test" enthaelt – siehe global-setup.ts. Beides erledigt
- * `npm run test:e2e`.
- */
-
-const PORT = Number(process.env.E2E_PORT ?? 3111);
-const BASE_URL = `http://localhost:${PORT}`;
-
-const DATABASE_URL =
-  process.env.E2E_DATABASE_URL ??
-  "postgresql://nebula:nebula@localhost:5432/nebula_e2e_test?schema=public";
-
-export default defineConfig({
-  testDir: "./e2e",
-  // Die Tests teilen sich eine Datenbank, deshalb nacheinander.
-  fullyParallel: false,
-  workers: 1,
-  forbidOnly: Boolean(process.env.CI),
-  retries: process.env.CI ? 1 : 0,
-  reporter: process.env.CI ? [["list"], ["html", { open: "never" }]] : [["list"]],
-  timeout: 60_000,
-  expect: { timeout: 10_000 },
-
-  globalSetup: "./e2e/global-setup.ts",
-
-  use: {
-    baseURL: BASE_URL,
-    locale: "de-DE",
-    timezoneId: "Europe/Berlin",
-    trace: "retain-on-failure",
-    screenshot: "only-on-failure",
-    // Oertlich der installierte Chrome, damit kein Browser geladen werden
-    // muss. In CI gibt es keinen – dort das mitgelieferte Chromium
-    // (siehe "playwright install chromium" im Arbeitsablauf).
-    ...(process.env.CI ? {} : { channel: "chrome" as const }),
-  },
-
-  webServer: {
-    command: "npm start",
-    url: `${BASE_URL}/api/health`,
-    reuseExistingServer: false,
-    timeout: 120_000,
-    stdout: "pipe",
-    stderr: "pipe",
-    env: {
-      DATABASE_URL,
-      PORT: String(PORT),
-      APP_URL: BASE_URL,
-      NODE_ENV: "production",
-      // Fester Schluessel, damit Laeufe vergleichbar bleiben.
-      APP_SECRET: "e2e-test-secret-nur-fuer-die-testlaeufe-1234567890",
-    },
-  },
-});

prisma.config.ts

@@ -1,24 +0,0 @@
-import { config as loadEnv } from "dotenv";
-import { defineConfig } from "prisma/config";
-
-/**
- * Konfiguration der Prisma-CLI.
- *
- * Loest den Abschnitt `prisma` in der package.json ab, der mit Prisma 7
- * wegfaellt.
- *
- * **Der Aufruf von dotenv ist nicht optional.** Sobald diese Datei
- * existiert, liest Prisma die .env nicht mehr von selbst ein – ohne die
- * folgenden Zeilen stuende `migrate deploy` plotzlich ohne DATABASE_URL da,
- * und zwar mit einer Fehlermeldung, die nicht darauf hindeutet. Erst .env,
- * dann .env.local: eine oertliche Abweichung soll gewinnen.
- */
-loadEnv({ path: ".env", quiet: true });
-loadEnv({ path: ".env.local", override: true, quiet: true });
-
-export default defineConfig({
-  schema: "prisma/schema.prisma",
-  migrations: {
-    seed: "tsx prisma/seed.ts",
-  },
-});

prisma/migrations/20260726090000_note_fulltext/migration.sql

@@ -1,16 +0,0 @@
--- Volltextsuche ueber Notizen.
---
--- Dies ist ein Ausdrucksindex. Prisma kann so etwas im Schema nicht abbilden
--- und kennt ihn deshalb nicht. Nachgeprueft: "prisma migrate diff" laesst ihn
--- in Ruhe und schlaegt kein DROP vor - Ausdrucksindizes werden schlicht
--- ignoriert. Trotzdem beim Erzeugen kuenftiger Migrationen kurz hinsehen.
---
--- Faellt er doch einmal weg, funktioniert die Suche weiter, nur langsamer:
--- Postgres berechnet to_tsvector dann je Zeile.
---
--- Der Ausdruck muss mit dem in src/app/api/search/route.ts uebereinstimmen,
--- sonst greift der Index nicht. Die zweistellige Form von to_tsvector mit
--- fester Konfiguration ist IMMUTABLE und damit indizierbar.
-
-CREATE INDEX "Note_fulltext_idx" ON "Note"
-  USING GIN (to_tsvector('german', coalesce("title", '') || ' ' || "content"));

prisma/migrations/20260726100000_pr_issues_ci/migration.sql

@@ -1,9 +0,0 @@
--- AlterTable
-ALTER TABLE "RepoSnapshot" ADD COLUMN     "ciBranch" TEXT,
-ADD COLUMN     "ciFinishedAt" TIMESTAMP(3),
-ADD COLUMN     "ciName" TEXT,
-ADD COLUMN     "ciState" TEXT,
-ADD COLUMN     "ciUrl" TEXT,
-ADD COLUMN     "commitActivity" JSONB NOT NULL DEFAULT '[]',
-ADD COLUMN     "issues" JSONB NOT NULL DEFAULT '[]',
-ADD COLUMN     "pullRequests" JSONB NOT NULL DEFAULT '[]';

prisma/migrations/20260726120000_tasks/migration.sql

@@ -1,28 +0,0 @@
--- CreateEnum
-CREATE TYPE "TaskStatus" AS ENUM ('TODO', 'DOING', 'BLOCKED', 'DONE');
-
--- AlterTable
-ALTER TABLE "Project" ADD COLUMN     "progressFromTasks" BOOLEAN NOT NULL DEFAULT false;
-
--- CreateTable
-CREATE TABLE "Task" (
-    "id" TEXT NOT NULL,
-    "projectId" TEXT NOT NULL,
-    "title" TEXT NOT NULL,
-    "description" TEXT,
-    "status" "TaskStatus" NOT NULL DEFAULT 'TODO',
-    "position" INTEGER NOT NULL DEFAULT 0,
-    "dueDate" TIMESTAMP(3),
-    "labels" TEXT[] DEFAULT ARRAY[]::TEXT[],
-    "doneAt" TIMESTAMP(3),
-    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
-    "updatedAt" TIMESTAMP(3) NOT NULL,
-
-    CONSTRAINT "Task_pkey" PRIMARY KEY ("id")
-);
-
--- CreateIndex
-CREATE INDEX "Task_projectId_status_position_idx" ON "Task"("projectId", "status", "position");
-
--- AddForeignKey
-ALTER TABLE "Task" ADD CONSTRAINT "Task_projectId_fkey" FOREIGN KEY ("projectId") REFERENCES "Project"("id") ON DELETE CASCADE ON UPDATE CASCADE;

prisma/migrations/20260726140000_notifications/migration.sql

@@ -1,39 +0,0 @@
--- CreateEnum
-CREATE TYPE "NotificationChannel" AS ENUM ('WEBHOOK', 'NTFY', 'EMAIL');
-
--- CreateEnum
-CREATE TYPE "NotificationEvent" AS ENUM ('SYNC_FAILED', 'CI_FAILED', 'NEW_RELEASE');
-
--- AlterTable
-ALTER TABLE "Project" ADD COLUMN     "notifiedCiState" TEXT,
-ADD COLUMN     "notifiedRelease" TEXT,
-ADD COLUMN     "notifiedSyncError" TEXT;
-
--- CreateTable
-CREATE TABLE "NotificationTarget" (
-    "id" TEXT NOT NULL,
-    "userId" TEXT NOT NULL,
-    "name" TEXT NOT NULL,
-    "channel" "NotificationChannel" NOT NULL,
-    "target" TEXT NOT NULL,
-    "secretCipher" TEXT,
-    "secretHint" TEXT,
-    "events" "NotificationEvent"[] DEFAULT ARRAY[]::"NotificationEvent"[],
-    "isActive" BOOLEAN NOT NULL DEFAULT true,
-    "lastSentAt" TIMESTAMP(3),
-    "lastOk" BOOLEAN,
-    "lastMessage" TEXT,
-    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
-    "updatedAt" TIMESTAMP(3) NOT NULL,
-
-    CONSTRAINT "NotificationTarget_pkey" PRIMARY KEY ("id")
-);
-
--- CreateIndex
-CREATE INDEX "NotificationTarget_userId_idx" ON "NotificationTarget"("userId");
-
--- CreateIndex
-CREATE UNIQUE INDEX "NotificationTarget_userId_name_key" ON "NotificationTarget"("userId", "name");
-
--- AddForeignKey
-ALTER TABLE "NotificationTarget" ADD CONSTRAINT "NotificationTarget_userId_fkey" FOREIGN KEY ("userId") REFERENCES "User"("id") ON DELETE CASCADE ON UPDATE CASCADE;

prisma/migrations/20260726160000_stale_projects/migration.sql

@@ -1,9 +0,0 @@
--- AlterEnum
-ALTER TYPE "NotificationEvent" ADD VALUE 'PROJECT_STALE';
-
--- AlterTable
-ALTER TABLE "AppSettings" ADD COLUMN     "lastStaleCheckAt" TIMESTAMP(3),
-ADD COLUMN     "staleAfterDays" INTEGER NOT NULL DEFAULT 60;
-
--- AlterTable
-ALTER TABLE "Project" ADD COLUMN     "notifiedStaleAt" TIMESTAMP(3);

prisma/migrations/20260726180000_task_source_issue/migration.sql

@@ -1,6 +0,0 @@
--- AlterTable
-ALTER TABLE "Task" ADD COLUMN     "sourceIssue" INTEGER,
-ADD COLUMN     "sourceUrl" TEXT;
-
--- CreateIndex
-CREATE UNIQUE INDEX "Task_projectId_sourceIssue_key" ON "Task"("projectId", "sourceIssue");

prisma/migrations/20260726210000_activity/migration.sql

@@ -1,24 +0,0 @@
--- CreateEnum
-CREATE TYPE "ActivityKind" AS ENUM ('PROJECT_CREATED', 'PROJECT_UPDATED', 'STATUS_CHANGED', 'NOTE_ADDED', 'NOTE_UPDATED', 'NOTE_DELETED', 'TASK_ADDED', 'TASK_MOVED', 'TASK_DELETED', 'TASKS_IMPORTED', 'REPO_LINKED', 'REPO_COMMITS', 'SYNC_FAILED');
-
--- CreateTable
-CREATE TABLE "Activity" (
-    "id" TEXT NOT NULL,
-    "projectId" TEXT NOT NULL,
-    "userId" TEXT,
-    "kind" "ActivityKind" NOT NULL,
-    "summary" TEXT NOT NULL,
-    "meta" JSONB,
-    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
-
-    CONSTRAINT "Activity_pkey" PRIMARY KEY ("id")
-);
-
--- CreateIndex
-CREATE INDEX "Activity_projectId_createdAt_idx" ON "Activity"("projectId", "createdAt");
-
--- AddForeignKey
-ALTER TABLE "Activity" ADD CONSTRAINT "Activity_projectId_fkey" FOREIGN KEY ("projectId") REFERENCES "Project"("id") ON DELETE CASCADE ON UPDATE CASCADE;
-
--- AddForeignKey
-ALTER TABLE "Activity" ADD CONSTRAINT "Activity_userId_fkey" FOREIGN KEY ("userId") REFERENCES "User"("id") ON DELETE SET NULL ON UPDATE CASCADE;

prisma/migrations/20260726220000_totp/migration.sql

@@ -1,47 +0,0 @@
--- AlterTable
-ALTER TABLE "User" ADD COLUMN     "totpEnabledAt" TIMESTAMP(3),
-ADD COLUMN     "totpSecretCipher" TEXT;
-
--- CreateTable
-CREATE TABLE "RecoveryCode" (
-    "id" TEXT NOT NULL,
-    "userId" TEXT NOT NULL,
-    "codeHash" TEXT NOT NULL,
-    "usedAt" TIMESTAMP(3),
-    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
-
-    CONSTRAINT "RecoveryCode_pkey" PRIMARY KEY ("id")
-);
-
--- CreateTable
-CREATE TABLE "PendingLogin" (
-    "id" TEXT NOT NULL,
-    "userId" TEXT NOT NULL,
-    "tokenHash" TEXT NOT NULL,
-    "attempts" INTEGER NOT NULL DEFAULT 0,
-    "expiresAt" TIMESTAMP(3) NOT NULL,
-    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
-
-    CONSTRAINT "PendingLogin_pkey" PRIMARY KEY ("id")
-);
-
--- CreateIndex
-CREATE UNIQUE INDEX "RecoveryCode_codeHash_key" ON "RecoveryCode"("codeHash");
-
--- CreateIndex
-CREATE INDEX "RecoveryCode_userId_idx" ON "RecoveryCode"("userId");
-
--- CreateIndex
-CREATE UNIQUE INDEX "PendingLogin_tokenHash_key" ON "PendingLogin"("tokenHash");
-
--- CreateIndex
-CREATE INDEX "PendingLogin_userId_idx" ON "PendingLogin"("userId");
-
--- CreateIndex
-CREATE INDEX "PendingLogin_expiresAt_idx" ON "PendingLogin"("expiresAt");
-
--- AddForeignKey
-ALTER TABLE "RecoveryCode" ADD CONSTRAINT "RecoveryCode_userId_fkey" FOREIGN KEY ("userId") REFERENCES "User"("id") ON DELETE CASCADE ON UPDATE CASCADE;
-
--- AddForeignKey
-ALTER TABLE "PendingLogin" ADD CONSTRAINT "PendingLogin_userId_fkey" FOREIGN KEY ("userId") REFERENCES "User"("id") ON DELETE CASCADE ON UPDATE CASCADE;

prisma/migrations/20260726230000_repositories/migration.sql

@@ -1,113 +0,0 @@
--- Mehrere Repositories je Projekt.
---
--- Die Git-Felder wandern vom Projekt in eine eigene Tabelle. Bestehende
--- Projekte bekommen daraus genau ein Repository, damit nichts verlorengeht;
--- der Snapshot haengt danach am Repository statt am Projekt.
---
--- Von Hand geschrieben: prisma migrate diff wuerde die Spalten am Projekt
--- ersatzlos loeschen und die Snapshots gleich mit.
-
--- ── 1. Neue Tabelle ─────────────────────────────────────────
-CREATE TABLE "Repository" (
-    "id" TEXT NOT NULL,
-    "projectId" TEXT NOT NULL,
-    "label" TEXT,
-    "repoUrl" TEXT,
-    "repoOwner" TEXT,
-    "repoName" TEXT,
-    "defaultBranch" TEXT,
-    "connectionId" TEXT,
-    "position" INTEGER NOT NULL DEFAULT 0,
-    "lastSyncedAt" TIMESTAMP(3),
-    "syncError" TEXT,
-    "autoSync" BOOLEAN NOT NULL DEFAULT true,
-    "syncFailureCount" INTEGER NOT NULL DEFAULT 0,
-    "notifiedSyncError" TEXT,
-    "notifiedCiState" TEXT,
-    "notifiedRelease" TEXT,
-    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
-    "updatedAt" TIMESTAMP(3) NOT NULL,
-
-    CONSTRAINT "Repository_pkey" PRIMARY KEY ("id")
-);
-
-CREATE INDEX "Repository_projectId_position_idx" ON "Repository"("projectId", "position");
-CREATE INDEX "Repository_connectionId_idx" ON "Repository"("connectionId");
-
-ALTER TABLE "Repository" ADD CONSTRAINT "Repository_projectId_fkey"
-    FOREIGN KEY ("projectId") REFERENCES "Project"("id") ON DELETE CASCADE ON UPDATE CASCADE;
-ALTER TABLE "Repository" ADD CONSTRAINT "Repository_connectionId_fkey"
-    FOREIGN KEY ("connectionId") REFERENCES "GitConnection"("id") ON DELETE SET NULL ON UPDATE CASCADE;
-
--- ── 2. Bestand uebernehmen ──────────────────────────────────
--- Nur Projekte, an denen wirklich etwas haengt. Ein Projekt, das bloss eine
--- Verbindung ausgewaehlt hatte, ohne je ein Repo zu nennen, braucht keine
--- leere Zeile.
-INSERT INTO "Repository" (
-    "id", "projectId", "repoUrl", "repoOwner", "repoName", "defaultBranch",
-    "connectionId", "position", "lastSyncedAt", "syncError", "autoSync",
-    "syncFailureCount", "notifiedSyncError", "notifiedCiState", "notifiedRelease",
-    "createdAt", "updatedAt"
-)
-SELECT
-    gen_random_uuid()::text, "id", "repoUrl", "repoOwner", "repoName", "defaultBranch",
-    "connectionId", 0, "lastSyncedAt", "syncError", "autoSync",
-    "syncFailureCount", "notifiedSyncError", "notifiedCiState", "notifiedRelease",
-    "createdAt", CURRENT_TIMESTAMP
-FROM "Project"
-WHERE "repoUrl" IS NOT NULL
-   OR ("repoOwner" IS NOT NULL AND "repoName" IS NOT NULL);
-
--- ── 3. Snapshots umhaengen ──────────────────────────────────
-ALTER TABLE "RepoSnapshot" ADD COLUMN "repositoryId" TEXT;
-
-UPDATE "RepoSnapshot" AS s
-SET "repositoryId" = r."id"
-FROM "Repository" AS r
-WHERE r."projectId" = s."projectId";
-
--- Ein Snapshot ohne zugehoeriges Repository kann nur entstanden sein, wenn
--- jemand die Repo-Angaben nachtraeglich geleert hat. Er ist ohnehin nicht
--- mehr zuzuordnen und beim naechsten Abgleich neu geholt.
-DELETE FROM "RepoSnapshot" WHERE "repositoryId" IS NULL;
-
-ALTER TABLE "RepoSnapshot" ALTER COLUMN "repositoryId" SET NOT NULL;
-ALTER TABLE "RepoSnapshot" DROP CONSTRAINT "RepoSnapshot_projectId_fkey";
-DROP INDEX "RepoSnapshot_projectId_key";
-ALTER TABLE "RepoSnapshot" DROP COLUMN "projectId";
-
-CREATE UNIQUE INDEX "RepoSnapshot_repositoryId_key" ON "RepoSnapshot"("repositoryId");
-ALTER TABLE "RepoSnapshot" ADD CONSTRAINT "RepoSnapshot_repositoryId_fkey"
-    FOREIGN KEY ("repositoryId") REFERENCES "Repository"("id") ON DELETE CASCADE ON UPDATE CASCADE;
-
--- ── 4. Herkunft uebernommener Aufgaben ──────────────────────
--- Bisher war die Issue-Nummer je Projekt eindeutig. Mit mehreren Repos
--- reicht das nicht mehr: Frontend und Backend haben beide ein Issue 5.
-ALTER TABLE "Task" ADD COLUMN "sourceRepositoryId" TEXT;
-
-UPDATE "Task" AS t
-SET "sourceRepositoryId" = r."id"
-FROM "Repository" AS r
-WHERE r."projectId" = t."projectId" AND t."sourceIssue" IS NOT NULL;
-
-DROP INDEX "Task_projectId_sourceIssue_key";
-CREATE UNIQUE INDEX "Task_projectId_sourceRepositoryId_sourceIssue_key"
-    ON "Task"("projectId", "sourceRepositoryId", "sourceIssue");
-
--- ── 5. Projekt aufraeumen ───────────────────────────────────
-ALTER TABLE "Project" DROP CONSTRAINT "Project_connectionId_fkey";
-DROP INDEX "Project_connectionId_idx";
-
-ALTER TABLE "Project"
-    DROP COLUMN "repoUrl",
-    DROP COLUMN "repoOwner",
-    DROP COLUMN "repoName",
-    DROP COLUMN "defaultBranch",
-    DROP COLUMN "connectionId",
-    DROP COLUMN "lastSyncedAt",
-    DROP COLUMN "syncError",
-    DROP COLUMN "autoSync",
-    DROP COLUMN "syncFailureCount",
-    DROP COLUMN "notifiedSyncError",
-    DROP COLUMN "notifiedCiState",
-    DROP COLUMN "notifiedRelease";

prisma/migrations/20260726240000_project_position/migration.sql

@@ -1,20 +0,0 @@
--- Freie Reihenfolge im Projektbrett.
---
--- Der Bestand bekommt seine Position aus der bisherigen Anzeige: je Konto und
--- Spalte nach Aenderungsdatum absteigend. Ohne diesen Schritt staenden alle
--- auf 0 und das Brett zeigte eine willkuerliche Reihenfolge, die sich bei
--- jedem Laden anders ergeben koennte.
-
-ALTER TABLE "Project" ADD COLUMN "position" INTEGER NOT NULL DEFAULT 0;
-
-UPDATE "Project" AS p
-SET "position" = nummeriert.rang - 1
-FROM (
-    SELECT "id", ROW_NUMBER() OVER (
-        PARTITION BY "ownerId", "status" ORDER BY "updatedAt" DESC, "id"
-    ) AS rang
-    FROM "Project"
-) AS nummeriert
-WHERE nummeriert."id" = p."id";
-
-CREATE INDEX "Project_ownerId_status_position_idx" ON "Project"("ownerId", "status", "position");

prisma/migrations/20260726250000_commit_calendar/migration.sql

@@ -1,3 +0,0 @@
--- AlterTable
-ALTER TABLE "RepoSnapshot" ADD COLUMN     "commitCalendar" JSONB NOT NULL DEFAULT '{}',
-ADD COLUMN     "commitCalendarAt" TIMESTAMP(3);

prisma/migrations/20260726260000_project_templates/migration.sql

@@ -1,29 +0,0 @@
--- CreateTable
-CREATE TABLE "ProjectTemplate" (
-    "id" TEXT NOT NULL,
-    "ownerId" TEXT NOT NULL,
-    "name" TEXT NOT NULL,
-    "description" TEXT,
-    "summary" TEXT,
-    "projectDescription" TEXT,
-    "status" "ProjectStatus" NOT NULL DEFAULT 'IDEA',
-    "priority" INTEGER NOT NULL DEFAULT 2,
-    "accent" TEXT NOT NULL DEFAULT 'violet',
-    "tags" TEXT[] DEFAULT ARRAY[]::TEXT[],
-    "progressFromTasks" BOOLEAN NOT NULL DEFAULT false,
-    "notes" JSONB NOT NULL DEFAULT '[]',
-    "tasks" JSONB NOT NULL DEFAULT '[]',
-    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
-    "updatedAt" TIMESTAMP(3) NOT NULL,
-
-    CONSTRAINT "ProjectTemplate_pkey" PRIMARY KEY ("id")
-);
-
--- CreateIndex
-CREATE INDEX "ProjectTemplate_ownerId_idx" ON "ProjectTemplate"("ownerId");
-
--- CreateIndex
-CREATE UNIQUE INDEX "ProjectTemplate_ownerId_name_key" ON "ProjectTemplate"("ownerId", "name");
-
--- AddForeignKey
-ALTER TABLE "ProjectTemplate" ADD CONSTRAINT "ProjectTemplate_ownerId_fkey" FOREIGN KEY ("ownerId") REFERENCES "User"("id") ON DELETE CASCADE ON UPDATE CASCADE;

prisma/migrations/20260726270000_task_recurrence/migration.sql

@@ -1,6 +0,0 @@
--- CreateEnum
-CREATE TYPE "Recurrence" AS ENUM ('DAILY', 'WEEKLY', 'BIWEEKLY', 'MONTHLY');
-
--- AlterTable
-ALTER TABLE "Task" ADD COLUMN     "recurredFrom" TEXT,
-ADD COLUMN     "recurrence" "Recurrence";

prisma/migrations/20260726280000_repo_readme/migration.sql

@@ -1,5 +0,0 @@
--- AlterTable
-ALTER TABLE "RepoSnapshot" ADD COLUMN     "readme" TEXT,
-ADD COLUMN     "readmeAt" TIMESTAMP(3),
-ADD COLUMN     "readmeBaseUrl" TEXT,
-ADD COLUMN     "readmePath" TEXT;

prisma/migrations/20260727000000_totp_replay/migration.sql

@@ -1,2 +0,0 @@
--- AlterTable
-ALTER TABLE "User" ADD COLUMN     "totpLastCounter" INTEGER;

prisma/schema.prisma

@@ -33,62 +33,6 @@ enum GitProvider {
   GITEA
 }
 
-/// Zustellwege fuer Benachrichtigungen.
-enum NotificationChannel {
-  WEBHOOK
-  NTFY
-  EMAIL
-}
-
-/// Anlaesse, ueber die benachrichtigt werden kann.
-enum NotificationEvent {
-  /// Ein Abgleich mit dem Git-System ist fehlgeschlagen.
-  SYNC_FAILED
-  /// Der letzte CI-Lauf auf dem Default-Branch ist rot.
-  CI_FAILED
-  /// Im Repository ist ein neuer Tag oder ein neues Release aufgetaucht.
-  NEW_RELEASE
-  /// Seit laengerem kein Commit mehr – der sanfte Stups.
-  PROJECT_STALE
-}
-
-/// Was im Verlauf eines Projekts festgehalten wird. Bewusst grob: der
-/// Verlauf soll erzaehlen, was passiert ist, und nicht jede Feldaenderung
-/// mitschreiben.
-enum ActivityKind {
-  PROJECT_CREATED
-  PROJECT_UPDATED
-  STATUS_CHANGED
-  NOTE_ADDED
-  NOTE_UPDATED
-  NOTE_DELETED
-  TASK_ADDED
-  TASK_MOVED
-  TASK_DELETED
-  TASKS_IMPORTED
-  REPO_LINKED
-  REPO_COMMITS
-  SYNC_FAILED
-}
-
-/// Wie oft sich eine Aufgabe wiederholt. Bewusst grob: feinere Regeln
-/// (jeden zweiten Dienstag im Monat) braucht ein Projektdashboard nicht,
-/// und sie waeren ohne Kalenderansicht kaum nachvollziehbar.
-enum Recurrence {
-  DAILY
-  WEEKLY
-  BIWEEKLY
-  MONTHLY
-}
-
-/// Spalten des Aufgabenbretts innerhalb eines Projekts.
-enum TaskStatus {
-  TODO
-  DOING
-  BLOCKED
-  DONE
-}
-
 /// ADMIN darf Benutzer und Einstellungen verwalten. Auf fremde Projekte hat
 /// auch ein Admin keinen Zugriff – die Trennung ist bewusst hart.
 enum UserRole {
@@ -122,26 +66,10 @@ model User {
   failedLoginCount Int       @default(0)
   lockedUntil      DateTime?
 
-  /// TOTP-Schluessel, AES-256-GCM-verschluesselt (siehe src/lib/crypto.ts).
-  /// Hinterlegt heisst noch nicht scharf: erst ein bestaetigter Code setzt
-  /// totpEnabledAt. Bis dahin darf die Anmeldung nicht danach fragen, sonst
-  /// sperrt sich aus, wer die Einrichtung abbricht.
-  totpSecretCipher String?
-  totpEnabledAt    DateTime?
-  /// Zuletzt eingeloestes Zeitfenster. RFC 6238 verlangt, denselben Code
-  /// kein zweites Mal anzunehmen – ohne diesen Merker liesse sich ein
-  /// abgefangener Code die restliche Gueltigkeit ueber wiederverwenden.
-  totpLastCounter  Int?
-
   sessions    Session[]
   credentials Credential[]
   projects    Project[]
   connections GitConnection[]
-  notificationTargets NotificationTarget[]
-  activities    Activity[]
-  recoveryCodes RecoveryCode[]
-  pendingLogins PendingLogin[]
-  templates     ProjectTemplate[]
 
   createdAt DateTime @default(now())
   updatedAt DateTime @updatedAt
@@ -186,45 +114,6 @@ model Credential {
   @@index([userId])
 }
 
-/// Ein Wiederherstellungscode fuer den Fall, dass der Authenticator weg ist.
-/// Jeder Code gilt genau einmal.
-model RecoveryCode {
-  id     String @id @default(cuid())
-  userId String
-  user   User   @relation(fields: [userId], references: [id], onDelete: Cascade)
-
-  /// SHA-256 des Codes. Kein langsames Verfahren wie bei Passwoertern: die
-  /// Codes sind zufaellig erzeugt und lang genug, dass Raten aussichtslos
-  /// ist – und bei einer Anmeldung waeren sonst zehn teure Vergleiche noetig.
-  codeHash String @unique
-
-  usedAt    DateTime?
-  createdAt DateTime  @default(now())
-
-  @@index([userId])
-}
-
-/// Zwischenzustand einer Anmeldung: Passwort stimmt, der zweite Faktor fehlt
-/// noch. Bewusst eine eigene Zeile und keine halbfertige Sitzung – so kann
-/// aus diesem Zustand nichts entstehen, was einer Anmeldung aehnelt.
-model PendingLogin {
-  id     String @id @default(cuid())
-  userId String
-  user   User   @relation(fields: [userId], references: [id], onDelete: Cascade)
-
-  /// Wie bei der Sitzung liegt nur der SHA-256-Hash des Cookie-Tokens hier.
-  tokenHash String @unique
-  /// Fehlversuche. Nach zu vielen wird der Vorgang verworfen, damit die
-  /// sechs Stellen nicht in Ruhe durchprobiert werden koennen.
-  attempts  Int    @default(0)
-
-  expiresAt DateTime
-  createdAt DateTime @default(now())
-
-  @@index([userId])
-  @@index([expiresAt])
-}
-
 /// Kurzlebige WebAuthn-Challenge. Wird nach Gebrauch geloescht, damit sie
 /// kein zweites Mal verwendet werden kann.
 model WebAuthnChallenge {
@@ -266,12 +155,6 @@ model AppSettings {
   /// Kurzbericht des letzten Durchlaufs: { synced, failed, skipped, ms }
   lastAutoSyncReport Json?
 
-  // ── Stillstand ─────────────────────────────────────────────
-  /// Ab wie vielen Tagen ohne Commit ein Projekt als stillstehend gilt.
-  staleAfterDays   Int       @default(60)
-  /// Die Pruefung laeuft hoechstens einmal am Tag.
-  lastStaleCheckAt DateTime?
-
   updatedAt DateTime @updatedAt
 }
 
@@ -301,7 +184,7 @@ model GitConnection {
   ownerId String?
   owner   User?   @relation(fields: [ownerId], references: [id], onDelete: Cascade)
 
-  repositories Repository[]
+  projects  Project[]
 
   createdAt DateTime @default(now())
   updatedAt DateTime @updatedAt
@@ -330,66 +213,16 @@ model Project {
   accent      String        @default("violet")
   tags        String[]      @default([])
   favorite    Boolean       @default(false)
-  /// Rang innerhalb der Statusspalte im Brett. Nur dort wirksam – die
-  /// uebrigen Ansichten folgen der gewaehlten Sortierung.
-  position    Int           @default(0)
-
-  /// Besitzer. Nullable wie bei GitConnection, damit Bestandsdaten beim
-  /// Einrichten des ersten Kontos uebernommen werden koennen.
-  ownerId String?
-  owner   User?   @relation(fields: [ownerId], references: [id], onDelete: Cascade)
-
-  /// Fortschritt aus dem Verhaeltnis erledigter Aufgaben berechnen statt
-  /// von Hand zu schieben. Nur sinnvoll, wenn es ueberhaupt Aufgaben gibt.
-  progressFromTasks Boolean @default(false)
-
-  /// Wann zuletzt wegen Stillstands gemeldet wurde. Erneut gemeldet wird
-  /// erst, wenn danach wieder ein Commit kam und es dann wieder still wurde.
-  /// Bleibt am Projekt: Stillstand ist eine Aussage ueber das Vorhaben, nicht
-  /// ueber ein einzelnes Repository.
-  notifiedStaleAt DateTime?
-
-  notes        Note[]
-  tasks        Task[]
-  activities   Activity[]
-  repositories Repository[]
-
-  createdAt DateTime @default(now())
-  updatedAt DateTime @updatedAt
-
-  @@unique([ownerId, slug])
-  @@index([status])
-  @@index([updatedAt])
-  @@index([ownerId])
-  @@index([ownerId, status, position])
-}
-
-/// Ein Repository eines Projekts. Ein Vorhaben besteht oft aus mehreren –
-/// Frontend und Backend etwa –, gehoert aber in eine Karte.
-///
-/// Das erste Repository (position 0) ist das fuehrende: seine Kennzahlen
-/// stehen auf der Projektkarte, wo fuer mehrere kein Platz ist.
-model Repository {
-  id        String  @id @default(cuid())
-  projectId String
-  project   Project @relation(fields: [projectId], references: [id], onDelete: Cascade)
-
-  /// Frei waehlbare Bezeichnung wie "Frontend". Leer heisst: der Repo-Name
-  /// steht fuer sich.
-  label String?
 
+  // ── Git-Anbindung ──────────────────────────────────────────
   repoUrl       String?
   /// Owner bzw. Namespace/Gruppe (bei GitLab auch verschachtelt: "gruppe/subgruppe")
   repoOwner     String?
   repoName      String?
   defaultBranch String?
-
   connectionId  String?
   connection    GitConnection? @relation(fields: [connectionId], references: [id], onDelete: SetNull)
 
-  /// Reihenfolge in der Anzeige.
-  position Int @default(0)
-
   lastSyncedAt DateTime?
   syncError    String?
   /// Am automatischen Abgleich teilnehmen. Einzeln abschaltbar, etwa bei
@@ -399,158 +232,24 @@ model Repository {
   /// jedem Fehlschlag wird der naechste Versuch weiter hinausgezoegert.
   syncFailureCount Int   @default(0)
 
-  /// Woruber zuletzt benachrichtigt wurde. Gemeldet wird nur bei einer
-  /// Aenderung – sonst kaeme bei einem dauerhaft kaputten Repo mit jedem
-  /// Abgleich dieselbe Nachricht. Je Repository, nicht je Projekt: sonst
-  /// verdeckt ein rotes Frontend die rote Pipeline des Backends.
-  notifiedSyncError String?
-  notifiedCiState   String?
-  notifiedRelease   String?
+  /// Besitzer. Nullable wie bei GitConnection, damit Bestandsdaten beim
+  /// Einrichten des ersten Kontos uebernommen werden koennen.
+  ownerId String?
+  owner   User?   @relation(fields: [ownerId], references: [id], onDelete: Cascade)
 
+  notes    Note[]
   snapshot RepoSnapshot?
 
   createdAt DateTime @default(now())
   updatedAt DateTime @updatedAt
 
-  @@index([projectId, position])
+  @@unique([ownerId, slug])
+  @@index([status])
   @@index([connectionId])
-}
-
-/// Ein Zustellweg fuer Benachrichtigungen, gehoert genau einem Konto.
-model NotificationTarget {
-  id      String              @id @default(cuid())
-  userId  String
-  user    User                @relation(fields: [userId], references: [id], onDelete: Cascade)
-  name    String
-  channel NotificationChannel
-
-  /// Webhook-URL, ntfy-Themen-URL oder E-Mail-Adresse.
-  target  String
-  /// Optionales Geheimnis, AES-256-GCM verschluesselt: Bearer-Token fuer
-  /// ntfy oder ein Signaturschluessel fuer den Webhook.
-  secretCipher String?
-  secretHint   String?
-
-  /// Worueber dieses Ziel benachrichtigt werden will.
-  events   NotificationEvent[] @default([])
-  isActive Boolean             @default(true)
-
-  lastSentAt  DateTime?
-  lastOk      Boolean?
-  lastMessage String?
-
-  createdAt DateTime @default(now())
-  updatedAt DateTime @updatedAt
-
-  @@unique([userId, name])
-  @@index([userId])
-}
-
-/// Eine Aufgabe innerhalb eines Projekts – die Karten des Aufgabenbretts.
-model Task {
-  id          String     @id @default(cuid())
-  projectId   String
-  project     Project    @relation(fields: [projectId], references: [id], onDelete: Cascade)
-  title       String
-  /// Optionale Notiz zur Aufgabe, Markdown wird dargestellt.
-  description String?
-  status      TaskStatus @default(TODO)
-  /// Rang innerhalb der Spalte. Anders als beim Projektbrett braucht es ihn
-  /// hier wirklich: Aufgaben haben eine Reihenfolge, die der Benutzer setzt.
-  /// Beim Umsortieren werden die Positionen einer Spalte neu durchnummeriert.
-  position    Int        @default(0)
-  dueDate     DateTime?
-  labels      String[]   @default([])
-  /// Zeitpunkt, zu dem die Aufgabe nach DONE gewandert ist.
-  doneAt      DateTime?
-
-  /// Wiederholt sich die Aufgabe? Wandert sie nach ERLEDIGT, entsteht die
-  /// naechste Fassung mit fortgeschriebenem Faelligkeitsdatum. Die erledigte
-  /// bleibt stehen – sonst ginge die Historie verloren.
-  recurrence  Recurrence?
-  /// Aus welcher Aufgabe diese hervorgegangen ist. Nur zur Nachvollziehbarkeit;
-  /// bewusst ohne Fremdschluessel, damit das Loeschen der Vorgaengerin die
-  /// Nachfolgerin nicht mitnimmt.
-  recurredFrom String?
-
-  /// Stammt die Aufgabe aus einem Git-Issue? Nummer, Repository und Link
-  /// merken, damit dasselbe Issue nicht zweimal uebernommen wird.
-  sourceIssue Int?
-  sourceUrl   String?
-  /// Aus welchem Repository. Muss mit in die Eindeutigkeit: Frontend und
-  /// Backend haben beide ein Issue Nummer 5, und das sind zwei Aufgaben.
-  sourceRepositoryId String?
-
-  createdAt DateTime @default(now())
-  updatedAt DateTime @updatedAt
-
-  /// Verhindert Dubletten beim erneuten Uebernehmen. Mehrere Aufgaben ohne
-  /// Herkunft sind erlaubt: NULL gilt in Postgres als verschieden.
-  @@unique([projectId, sourceRepositoryId, sourceIssue])
-  @@index([projectId, status, position])
-}
-
-/// Eine Vorlage fuer neue Projekte: Stammdaten, Tags, Notizen und Aufgaben.
-///
-/// Bewusst benutzereigen und nicht fest eingebaut. Welche Tags und welche
-/// Startaufgaben sinnvoll sind, weiss nur, wer damit arbeitet – eine
-/// mitgelieferte Liste waere geraten.
-model ProjectTemplate {
-  id      String @id @default(cuid())
-  ownerId String
-  owner   User   @relation(fields: [ownerId], references: [id], onDelete: Cascade)
-
-  name        String
-  /// Wozu die Vorlage gut ist – erscheint in der Auswahl.
-  description String?
-
-  // ── Was die Vorlage in das neue Projekt schreibt ───────────
-  summary            String?
-  projectDescription String?
-  status             ProjectStatus @default(IDEA)
-  priority           Int           @default(2)
-  accent             String        @default("violet")
-  tags               String[]      @default([])
-  progressFromTasks  Boolean       @default(false)
-
-  /// [{ title, content, pinned }]
-  notes Json @default("[]")
-  /// [{ title, description, status, labels }]
-  tasks Json @default("[]")
-
-  createdAt DateTime @default(now())
-  updatedAt DateTime @updatedAt
-
-  @@unique([ownerId, name])
+  @@index([updatedAt])
   @@index([ownerId])
 }
 
-/// Ein Eintrag im Verlauf eines Projekts: was ist wann passiert.
-model Activity {
-  id        String       @id @default(cuid())
-  projectId String
-  project   Project      @relation(fields: [projectId], references: [id], onDelete: Cascade)
-
-  /// Wer. null bedeutet: die Anwendung selbst, also der Zeitgeber beim
-  /// automatischen Abgleich.
-  userId String?
-  user   User?   @relation(fields: [userId], references: [id], onDelete: SetNull)
-
-  kind ActivityKind
-  /// Fertig formulierter Einzeiler. Die Formulierung beim Schreiben
-  /// festzuhalten spart der Anzeige das Nachschlagen von Namen, die es
-  /// spaeter womoeglich nicht mehr gibt – etwa den einer geloeschten Notiz.
-  summary String
-  /// Zusatzangaben wie { from: "IDEA", to: "DONE" }. Fuer die Anzeige nicht
-  /// noetig, aber nuetzlich, falls spaeter ausgewertet werden soll.
-  meta Json?
-
-  createdAt DateTime @default(now())
-
-  /// Absteigend gelesen, immer je Projekt.
-  @@index([projectId, createdAt])
-}
-
 /// Freie Notizen zu einem Projekt.
 model Note {
   id        String   @id @default(cuid())
@@ -566,12 +265,12 @@ model Note {
   @@index([pinned])
 }
 
-/// Zwischengespeicherter Stand eines Repositories. Wird beim Sync
-/// ueberschrieben, damit das Dashboard auch ohne Netz Daten zeigt.
+/// Zwischengespeicherter Stand des verknuepften Repositories. Wird beim
+/// Sync ueberschrieben, damit das Dashboard auch ohne Netz Daten zeigt.
 model RepoSnapshot {
   id        String  @id @default(cuid())
-  repositoryId String     @unique
-  repository   Repository @relation(fields: [repositoryId], references: [id], onDelete: Cascade)
+  projectId String  @unique
+  project   Project @relation(fields: [projectId], references: [id], onDelete: Cascade)
 
   fullName      String?
   description   String?
@@ -604,35 +303,6 @@ model RepoSnapshot {
   commits   Json @default("[]")
   releases  Json @default("[]")
   languages Json @default("{}")
-  pullRequests  Json @default("[]")
-  issues        Json @default("[]")
-  /// Commits je Tag der letzten 30 Tage, aeltester zuerst.
-  commitActivity Json @default("[]")
-
-  /// Commits je Tag ueber bis zu ein Jahr – die Heatmap.
-  /// { from, to, days: { "2026-07-26": 3 }, source, truncated }
-  /// Getrennt vom uebrigen Stand, weil das Holen zusaetzliche Aufrufe kostet
-  /// und deshalb hoechstens einmal am Tag geschieht.
-  commitCalendar   Json      @default("{}")
-  commitCalendarAt DateTime?
-
-  /// Das README des Repositories, roh als Markdown. Wie der Kalender
-  /// hoechstens einmal am Tag geholt – es aendert sich selten, und der
-  /// Abgleich laeuft im Zweifel stuendlich.
-  readme        String?
-  /// Dateiname, wie er im Repository steht ("README.md", "readme.rst" …).
-  readmePath    String?
-  /// Wogegen relative Links im README aufzuloesen sind.
-  readmeBaseUrl String?
-  readmeAt      DateTime?
-
-  // ── Letzter CI-Lauf auf dem Default-Branch ─────────────────
-  /// success | failure | running | pending | cancelled
-  ciState      String?
-  ciName       String?
-  ciBranch     String?
-  ciUrl        String?
-  ciFinishedAt DateTime?
 
   pushedAt  DateTime?
   fetchedAt DateTime @default(now())

scripts/update.sh

@@ -1,163 +0,0 @@
-#!/usr/bin/env bash
-# ─────────────────────────────────────────────────────────────
-#  Nebula auf einem Server aktualisieren.
-#
-#  Holt den neuen Stand, sichert die Datenbank, baut das Abbild, spielt die
-#  Migrationen ein und startet neu. Bricht ab, sobald ein Schritt scheitert –
-#  und sagt dann, wie zurueckzukommen ist.
-#
-#  Aufruf:   ./scripts/update.sh
-#            ./scripts/update.sh --no-pull      (nur neu bauen und starten)
-#            ./scripts/update.sh --ref v1.4.0   (auf einen Stand festlegen)
-#            ./scripts/update.sh --yes          (ohne Rueckfrage)
-#
-#  Rueckgabe 0 heisst: die neue Fassung laeuft und antwortet gesund.
-# ─────────────────────────────────────────────────────────────
-set -euo pipefail
-
-root="$(cd "$(dirname "$0")/.." && pwd)"
-cd "$root"
-
-pull=1
-ref=""
-zusage=0
-
-while [ $# -gt 0 ]; do
-  case "$1" in
-    --no-pull) pull=0 ;;
-    --ref) ref="${2:-}"; shift ;;
-    --yes|-y) zusage=1 ;;
-    -h|--help) sed -n '3,15p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
-    *) echo "Unbekannte Option: $1" >&2; exit 2 ;;
-  esac
-  shift
-done
-
-# ── Farben, aber nur wenn ein Terminal zusieht ───────────────
-if [ -t 1 ]; then
-  rot=$'\033[31m'; gruen=$'\033[32m'; gelb=$'\033[33m'; fett=$'\033[1m'; aus=$'\033[0m'
-else
-  rot=""; gruen=""; gelb=""; fett=""; aus=""
-fi
-
-schritt() { printf '\n%s▸ %s%s\n' "$fett" "$1" "$aus"; }
-ok()      { printf '  %s✓%s %s\n' "$gruen" "$aus" "$1"; }
-warnung() { printf '  %s!%s %s\n' "$gelb" "$aus" "$1"; }
-abbruch() { printf '\n%s✗ %s%s\n' "$rot" "$1" "$aus" >&2; exit 1; }
-
-# ── Voraussetzungen ──────────────────────────────────────────
-schritt "Voraussetzungen"
-
-command -v docker >/dev/null || abbruch "docker nicht gefunden."
-docker compose version >/dev/null 2>&1 || abbruch "docker compose (v2) nicht gefunden."
-[ -f "$root/.env" ] || abbruch "Keine .env in $root. Zuerst 'node scripts/setup.mjs' ausfuehren."
-[ -f "$root/docker-compose.yml" ] || abbruch "Kein docker-compose.yml in $root."
-ok "docker, compose und .env vorhanden"
-
-# APP_SECRET muss gesetzt sein – sonst liegen die Git-Tokens faktisch offen.
-if grep -qE '^\s*APP_SECRET\s*=\s*("?)(nebula-dev-secret[^"]*|)\1\s*$' "$root/.env"; then
-  abbruch "APP_SECRET ist leer oder noch der Entwicklungswert. Bitte in der .env setzen."
-fi
-ok "APP_SECRET gesetzt"
-
-vorher="$(git rev-parse --short HEAD 2>/dev/null || echo "unbekannt")"
-version_vorher="$(node -p "require('./package.json').version" 2>/dev/null || echo "?")"
-printf '  Aktuell: v%s (%s)\n' "$version_vorher" "$vorher"
-
-# ── Neuen Stand holen ────────────────────────────────────────
-if [ "$pull" -eq 1 ]; then
-  schritt "Neuen Stand holen"
-
-  if [ -n "$(git status --porcelain)" ]; then
-    abbruch "Das Arbeitsverzeichnis ist nicht sauber. Bitte erst committen oder verwerfen."
-  fi
-
-  git fetch --all --tags --quiet
-  if [ -n "$ref" ]; then
-    git checkout --quiet "$ref"
-    ok "Auf $ref gewechselt"
-  else
-    zweig="$(git rev-parse --abbrev-ref HEAD)"
-    git pull --ff-only --quiet origin "$zweig"
-    ok "$zweig aktualisiert"
-  fi
-
-  nachher="$(git rev-parse --short HEAD)"
-  version_nachher="$(node -p "require('./package.json').version" 2>/dev/null || echo "?")"
-
-  if [ "$vorher" = "$nachher" ]; then
-    warnung "Kein neuer Stand – es wird trotzdem neu gebaut."
-  else
-    printf '  Neu:     v%s (%s)\n' "$version_nachher" "$nachher"
-    printf '\n  Was dazukam:\n'
-    git --no-pager log --oneline --no-decorate "$vorher..$nachher" 2>/dev/null | sed 's/^/    /' || true
-  fi
-else
-  warnung "Ohne --pull: der vorhandene Stand wird neu gebaut."
-fi
-
-# ── Rueckfrage ───────────────────────────────────────────────
-if [ "$zusage" -eq 0 ] && [ -t 0 ]; then
-  printf '\n%sWeiter? Die Datenbank wird vorher gesichert. [j/N] %s' "$fett" "$aus"
-  read -r antwort
-  case "$antwort" in [jJyY]*) ;; *) abbruch "Abgebrochen." ;; esac
-fi
-
-# ── Datenbank sichern ────────────────────────────────────────
-schritt "Datenbank sichern"
-
-# Die Datenbank muss laufen, sonst gibt es nichts zu sichern.
-docker compose up -d db >/dev/null
-sicherung=""
-if [ -x "$root/scripts/backup.sh" ]; then
-  ausgabe="$("$root/scripts/backup.sh" 2>&1)" || abbruch "Sicherung fehlgeschlagen:\n$ausgabe"
-  sicherung="$(printf '%s' "$ausgabe" | grep -oE '[^ ]*backups/[^ ]*\.sql[^ ]*' | tail -n 1 || true)"
-  ok "Gesichert${sicherung:+: $sicherung}"
-else
-  warnung "scripts/backup.sh fehlt – es wird ohne Sicherung fortgefahren."
-fi
-
-# ── Bauen ────────────────────────────────────────────────────
-schritt "Abbild bauen"
-# Erst bauen, dann umschalten: ein Fehlschlag laesst die alte Fassung laufen.
-docker compose --profile full build app || abbruch "Der Bau ist gescheitert. Die laufende Fassung ist unveraendert."
-ok "Abbild gebaut"
-
-# ── Starten ──────────────────────────────────────────────────
-schritt "Starten"
-# Die Migrationen laufen im entrypoint.sh, bevor der Server hochkommt.
-docker compose --profile full up -d || abbruch "Der Start ist gescheitert."
-ok "Container gestartet"
-
-# ── Gesundheitspruefung ──────────────────────────────────────
-schritt "Gesundheitspruefung"
-
-port="$(sed -n 's/^[[:space:]]*APP_PORT[[:space:]]*=[[:space:]]*"\{0,1\}\([^"#]*\)"\{0,1\}[[:space:]]*$/\1/p' "$root/.env" | tail -n 1)"
-port="${port:-3000}"
-
-gesund=0
-for versuch in $(seq 1 30); do
-  if curl -fsS "http://127.0.0.1:${port}/api/health" >/dev/null 2>&1; then
-    gesund=1
-    break
-  fi
-  sleep 2
-done
-
-if [ "$gesund" -ne 1 ]; then
-  printf '\n%sLetzte Zeilen aus dem Log:%s\n' "$fett" "$aus"
-  docker compose --profile full logs --tail 40 app || true
-  printf '\n%sZurueck zur vorigen Fassung:%s\n' "$fett" "$aus"
-  printf '  git checkout %s && ./scripts/update.sh --no-pull --yes\n' "$vorher"
-  [ -n "$sicherung" ] && printf '  Datenbank notfalls: ./scripts/restore.sh %s\n' "$sicherung"
-  abbruch "Die Anwendung antwortet nach 60 Sekunden nicht gesund."
-fi
-
-antwort_json="$(curl -fsS "http://127.0.0.1:${port}/api/health")"
-ok "Gesund: $antwort_json"
-
-# ── Fertig ───────────────────────────────────────────────────
-version_jetzt="$(node -p "require('./package.json').version" 2>/dev/null || echo "?")"
-printf '\n%s%s✓ Nebula v%s laeuft auf Port %s%s\n' "$gruen" "$fett" "$version_jetzt" "$port" "$aus"
-[ -n "$sicherung" ] && printf '  Sicherung vor dem Update: %s\n' "$sicherung"
-printf '  Log mitlesen: docker compose --profile full logs -f app\n\n'

src/app/account/page.tsx

@@ -1,10 +1,5 @@
 import type { Metadata } from "next";
 import { AccountManager, type AccountData } from "@/components/account/AccountManager";
-import {
-  NotificationSection,
-  type NotificationTargetEntry,
-} from "@/components/account/NotificationSection";
-import { emailAvailable } from "@/lib/notify";
 import { requireUserPage } from "@/lib/auth/guard";
 import { WEBAUTHN_AVAILABLE } from "@/lib/config";
 import { prisma } from "@/lib/db";
@@ -18,7 +13,7 @@ export async function generateMetadata(): Promise<Metadata> {
 export default async function AccountPage() {
   const user = await requireUserPage();
 
-  const [passkeys, sessions, targets, konto, offeneCodes] = await Promise.all([
+  const [passkeys, sessions] = await Promise.all([
     prisma.credential.findMany({
       where: { userId: user.id },
       select: {
@@ -42,27 +37,6 @@ export default async function AccountPage() {
       },
       orderBy: { lastSeenAt: "desc" },
     }),
-    prisma.notificationTarget.findMany({
-      where: { userId: user.id },
-      select: {
-        id: true,
-        name: true,
-        channel: true,
-        target: true,
-        secretHint: true,
-        events: true,
-        isActive: true,
-        lastSentAt: true,
-        lastOk: true,
-        lastMessage: true,
-      },
-      orderBy: { name: "asc" },
-    }),
-    prisma.user.findUniqueOrThrow({
-      where: { id: user.id },
-      select: { totpEnabledAt: true },
-    }),
-    prisma.recoveryCode.count({ where: { userId: user.id, usedAt: null } }),
   ]);
 
   const data: AccountData = {
@@ -74,11 +48,6 @@ export default async function AccountPage() {
     passkeys,
     sessions,
     passkeysAvailable: WEBAUTHN_AVAILABLE,
-    totp: {
-      enabled: Boolean(konto.totpEnabledAt),
-      enabledAt: konto.totpEnabledAt,
-      recoveryCodesLeft: offeneCodes,
-    },
   };
 
   return (
@@ -91,11 +60,6 @@ export default async function AccountPage() {
       </header>
 
       <AccountManager data={data} />
-
-      <NotificationSection
-        targets={targets as unknown as NotificationTargetEntry[]}
-        emailAvailable={emailAvailable()}
-      />
     </div>
   );
 }

src/app/admin/page.tsx

@@ -19,7 +19,7 @@ export async function generateMetadata(): Promise<Metadata> {
 export default async function AdminPage() {
   const admin = await requireAdminPage();
 
-  const [settings, users, eligible, staleListeners] = await Promise.all([
+  const [settings, users, eligible] = await Promise.all([
     getAppSettings(),
     prisma.user.findMany({
       select: userSafeSelect,
@@ -27,9 +27,7 @@ export default async function AdminPage() {
     }),
     // Bewusst ueber alle Konten: der Abgleich ist ein Serverauftrag, keine
     // Dateneinsicht. Gezaehlt wird nur, nicht gelesen.
-    // Gezaehlt werden Repositories, nicht Projekte: sie sind die Einheit, in
-    // der abgeglichen und begrenzt wird.
-    prisma.repository.count({
+    prisma.project.count({
       where: {
         autoSync: true,
         OR: [
@@ -38,9 +36,6 @@ export default async function AdminPage() {
         ],
       },
     }),
-    prisma.notificationTarget.count({
-      where: { isActive: true, events: { has: "PROJECT_STALE" } },
-    }),
   ]);
 
   const data: AdminData = {
@@ -59,11 +54,6 @@ export default async function AdminPage() {
       lastReport: (settings.lastAutoSyncReport as AutoSyncReport | null) ?? null,
       eligible,
     },
-    stale: {
-      afterDays: settings.staleAfterDays,
-      lastCheckAt: settings.lastStaleCheckAt,
-      listeners: staleListeners,
-    },
   };
 
   return (

src/app/api/account/totp/recovery/route.ts

@@ -1,43 +0,0 @@
-import { NextResponse } from "next/server";
-import { z } from "zod";
-import { requireUserApi } from "@/lib/auth/guard";
-import { verifyPassword } from "@/lib/auth/password";
-import { issueRecoveryCodes } from "@/lib/auth/recovery";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-
-export const dynamic = "force-dynamic";
-
-const schema = z.object({ password: z.string().min(1).max(200) });
-
-/**
- * Neue Wiederherstellungscodes. Die alten verfallen dabei – sonst waeren
- * Zettel im Umlauf, von denen niemand mehr weiss, welche noch gelten.
- *
- * Verlangt das Passwort, wie das Abschalten auch: die Codes sind gleichwertig
- * zum zweiten Faktor.
- */
-export async function POST(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = schema.safeParse(body.data);
-  if (!parsed.success) return jsonError("Bitte das Passwort angeben.", 422);
-
-  const user = await prisma.user.findUniqueOrThrow({
-    where: { id: auth.user.id },
-    select: { passwordHash: true, totpEnabledAt: true },
-  });
-
-  if (!user.totpEnabledAt) {
-    return jsonError("Die Zwei-Faktor-Anmeldung ist nicht aktiv.", 409);
-  }
-  if (!(await verifyPassword(parsed.data.password, user.passwordHash))) {
-    return jsonError("Das Passwort stimmt nicht.", 401);
-  }
-
-  return NextResponse.json({ recoveryCodes: await issueRecoveryCodes(auth.user.id) });
-}

src/app/api/account/totp/route.ts

@@ -1,170 +0,0 @@
-import { NextResponse } from "next/server";
-import QRCode from "qrcode";
-import { z } from "zod";
-import { requireUserApi } from "@/lib/auth/guard";
-import { verifyPassword } from "@/lib/auth/password";
-import { countUnusedRecoveryCodes, issueRecoveryCodes } from "@/lib/auth/recovery";
-import { generateTotpSecret, groupSecret, matchTotp, otpauthUri } from "@/lib/auth/totp";
-import { APP_NAME } from "@/lib/config";
-import { encryptSecret, tryDecryptSecret } from "@/lib/crypto";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { formatZodError } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-/**
- * Zwei-Faktor-Anmeldung per Einmalkennwort.
- *
- * Die Einrichtung laeuft in zwei Schritten: POST legt einen Schluessel an und
- * zeigt ihn als QR-Code, PUT schaltet ihn nach einem bestaetigten Code scharf.
- * Erst dann fragt die Anmeldung danach. Wer die Einrichtung abbricht oder den
- * QR-Code nie scannt, sperrt sich so nicht aus.
- */
-
-/** Zustand fuer die Anzeige. */
-export async function GET() {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const user = await prisma.user.findUniqueOrThrow({
-    where: { id: auth.user.id },
-    select: { totpEnabledAt: true },
-  });
-
-  return NextResponse.json({
-    enabled: Boolean(user.totpEnabledAt),
-    enabledAt: user.totpEnabledAt,
-    recoveryCodesLeft: user.totpEnabledAt
-      ? await countUnusedRecoveryCodes(auth.user.id)
-      : 0,
-  });
-}
-
-/** Schritt 1: Schluessel erzeugen und als QR-Code zurueckgeben. */
-export async function POST() {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const user = await prisma.user.findUniqueOrThrow({
-    where: { id: auth.user.id },
-    select: { totpEnabledAt: true, username: true },
-  });
-
-  if (user.totpEnabledAt) {
-    return jsonError(
-      "Die Zwei-Faktor-Anmeldung ist bereits aktiv. Bitte zuerst abschalten.",
-      409,
-    );
-  }
-
-  // Bei jedem Anlauf ein frischer Schluessel: ein halb eingerichteter aus
-  // einem frueheren Versuch koennte in einer Authenticator-App liegen, ohne
-  // dass hier bekannt waere, in welcher.
-  const secret = generateTotpSecret();
-  await prisma.user.update({
-    where: { id: auth.user.id },
-    data: { totpSecretCipher: encryptSecret(secret) },
-  });
-
-  const uri = otpauthUri({ secret, account: user.username, issuer: APP_NAME });
-
-  return NextResponse.json({
-    // Das Bild als data:-URI, damit die Content-Security-Policy nichts
-    // nachladen muss. img-src erlaubt data: bereits.
-    qr: await QRCode.toDataURL(uri, { margin: 1, width: 320 }),
-    uri,
-    /** Zum Abtippen, falls die Kamera nicht mitspielt. */
-    secret: groupSecret(secret),
-  });
-}
-
-const enableSchema = z.object({ code: z.string().min(6).max(10) });
-
-/** Schritt 2: Code bestaetigen, scharfschalten, Wiederherstellungscodes ausgeben. */
-export async function PUT(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = enableSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const user = await prisma.user.findUniqueOrThrow({
-    where: { id: auth.user.id },
-    select: { totpSecretCipher: true, totpEnabledAt: true },
-  });
-
-  if (user.totpEnabledAt) return jsonError("Die Zwei-Faktor-Anmeldung ist bereits aktiv.", 409);
-
-  const secret = tryDecryptSecret(user.totpSecretCipher);
-  if (!secret) {
-    return jsonError("Es liegt kein Schluessel vor. Bitte die Einrichtung neu starten.", 409);
-  }
-
-  const fenster = matchTotp(secret, parsed.data.code);
-  if (fenster === null) {
-    return jsonError(
-      "Der Code stimmt nicht. Geht die Uhr des Geraets richtig?",
-      401,
-    );
-  }
-
-  await prisma.user.update({
-    where: { id: auth.user.id },
-    // Das Fenster gleich mitverbrennen: der Code, der eben aktiviert hat,
-    // soll nicht Sekunden spaeter noch zum Anmelden taugen.
-    data: { totpEnabledAt: new Date(), totpLastCounter: fenster },
-  });
-
-  return NextResponse.json({
-    ok: true,
-    // Einmalige Ausgabe: gespeichert wird nur ihr Hash.
-    recoveryCodes: await issueRecoveryCodes(auth.user.id),
-  });
-}
-
-const disableSchema = z.object({ password: z.string().min(1).max(200) });
-
-/** Abschalten. Verlangt das Passwort, nicht nur eine offene Sitzung. */
-export async function DELETE(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = disableSchema.safeParse(body.data);
-  if (!parsed.success) return jsonError("Bitte das Passwort angeben.", 422);
-
-  const user = await prisma.user.findUniqueOrThrow({
-    where: { id: auth.user.id },
-    select: { passwordHash: true, totpEnabledAt: true },
-  });
-
-  if (!user.totpEnabledAt) return jsonError("Die Zwei-Faktor-Anmeldung ist nicht aktiv.", 409);
-
-  // Ein unbeaufsichtigter Rechner mit offener Sitzung soll den zweiten Faktor
-  // nicht im Vorbeigehen entfernen koennen.
-  if (!(await verifyPassword(parsed.data.password, user.passwordHash))) {
-    return jsonError("Das Passwort stimmt nicht.", 401);
-  }
-
-  await prisma.$transaction([
-    prisma.user.update({
-      where: { id: auth.user.id },
-      data: { totpSecretCipher: null, totpEnabledAt: null, totpLastCounter: null },
-    }),
-    prisma.recoveryCode.deleteMany({ where: { userId: auth.user.id } }),
-    prisma.pendingLogin.deleteMany({ where: { userId: auth.user.id } }),
-  ]);
-
-  return NextResponse.json({ ok: true });
-}

src/app/api/admin/backup/route.ts

@@ -56,7 +56,6 @@ export async function GET() {
     prisma.project.findMany({
       include: {
         notes: { orderBy: { createdAt: "asc" } },
-        tasks: { orderBy: [{ status: "asc" }, { position: "asc" }] },
         // Snapshots bleiben draussen: reproduzierbar und gross.
       },
       orderBy: { name: "asc" },

src/app/api/admin/settings/route.ts

@@ -37,7 +37,6 @@ export async function PATCH(request: Request) {
     autoSyncIntervalMinutes,
     autoSyncActiveOnly,
     autoSyncBatchSize,
-    staleAfterDays,
   } = parsed.data;
 
   // Der Wechsel in den Einzelbetrieb wuerde weitere Konten aussperren –
@@ -58,11 +57,6 @@ export async function PATCH(request: Request) {
     ...(autoSyncIntervalMinutes !== undefined ? { autoSyncIntervalMinutes } : {}),
     ...(autoSyncActiveOnly !== undefined ? { autoSyncActiveOnly } : {}),
     ...(autoSyncBatchSize !== undefined ? { autoSyncBatchSize } : {}),
-    // Neue Schwelle: die Pruefung soll beim naechsten Tick greifen, nicht
-    // erst in 24 Stunden.
-    ...(staleAfterDays !== undefined
-      ? { staleAfterDays, lastStaleCheckAt: null }
-      : {}),
   };
 
   const settings = await prisma.appSettings.upsert({

src/app/api/auth/login/route.ts

@@ -1,5 +1,4 @@
 import { NextResponse } from "next/server";
-import { createPendingLogin, setMfaCookie } from "@/lib/auth/mfa";
 import { fakeVerifyDelay, verifyPassword } from "@/lib/auth/password";
 import { createSession, setSessionCookie } from "@/lib/auth/session";
 import { lockRemainingSeconds, noteFailedLogin, noteSuccessfulLogin } from "@/lib/auth/users";
@@ -69,18 +68,6 @@ export async function POST(request: Request) {
     return jsonError(GENERIC, 401);
   }
 
-  // Das Passwort stimmt. Ist ein zweiter Faktor eingerichtet, entsteht hier
-  // noch keine Sitzung, sondern nur ein Vorgang mit kurzer Frist.
-  if (user.totpEnabledAt) {
-    // Die Zaehler bleiben stehen, bis die Anmeldung wirklich durch ist:
-    // sonst liesse sich ueber wiederholte Passworteingaben die Sperre
-    // umgehen, die falsche Passwoerter aufbaut.
-    const token = await createPendingLogin(user.id);
-    const response = NextResponse.json({ ok: false, mfaRequired: true });
-    setMfaCookie(response, token);
-    return response;
-  }
-
   await noteSuccessfulLogin(user.id);
   resetRateLimit(`login:user:${username}`);
   resetRateLimit(`login:ip:${ip}`);

src/app/api/auth/mfa/route.ts

@@ -1,117 +0,0 @@
-import { NextResponse } from "next/server";
-import { z } from "zod";
-import {
-  clearMfaCookie,
-  discardPendingLogin,
-  noteMfaFailure,
-  readPendingLogin,
-} from "@/lib/auth/mfa";
-import { redeemRecoveryCode } from "@/lib/auth/recovery";
-import { createSession, setSessionCookie } from "@/lib/auth/session";
-import { matchTotp } from "@/lib/auth/totp";
-import { noteSuccessfulLogin } from "@/lib/auth/users";
-import { prisma } from "@/lib/db";
-import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
-import { clientIp, jsonError, readJsonBody, tooManyRequests } from "@/lib/security/request";
-
-export const dynamic = "force-dynamic";
-
-/**
- * Der zweite Schritt der Anmeldung: Einmalkennwort oder
- * Wiederherstellungscode.
- *
- * Der Vorgang steckt im kurzlebigen Cookie aus Schritt eins. Wer hier ohne
- * diesen Cookie ankommt, hat kein Passwort vorgezeigt und bekommt nichts.
- */
-
-const schema = z.object({
-  code: z.string().min(1).max(40),
-});
-
-const GENERIC = "Der Code stimmt nicht.";
-
-export async function POST(request: Request) {
-  const ip = clientIp(request);
-  const limited = rateLimit(`mfa:${ip}`, LIMITS.login.limit, LIMITS.login.windowMs);
-  if (!limited.ok) return tooManyRequests(limited.retryAfter);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = schema.safeParse(body.data);
-  if (!parsed.success) return jsonError(GENERIC, 401);
-
-  const pending = await readPendingLogin();
-  if (!pending) {
-    const response = jsonError(
-      "Die Anmeldung ist abgelaufen. Bitte melde dich neu an.",
-      401,
-    );
-    clearMfaCookie(response);
-    return response;
-  }
-
-  if (!pending.user.isActive) {
-    await discardPendingLogin(pending.id);
-    const response = jsonError("Dieses Konto ist deaktiviert.", 403);
-    clearMfaCookie(response);
-    return response;
-  }
-
-  const eingabe = parsed.data.code.trim();
-
-  // Sechs Ziffern sind ein Einmalkennwort, alles andere ein
-  // Wiederherstellungscode. Beide Wege zu probieren waere unnoetig – die
-  // Formate ueberschneiden sich nicht.
-  const istZiffern = /^[\d\s]+$/.test(eingabe);
-
-  // Bei den Ziffern zaehlt zusaetzlich, dass das Zeitfenster neuer ist als
-  // das zuletzt eingeloeste. Sonst liesse sich ein abgefangener Code die
-  // restliche Gueltigkeitsdauer ueber wiederverwenden – RFC 6238, 5.2.
-  const fenster =
-    istZiffern && pending.user.totpSecret
-      ? matchTotp(pending.user.totpSecret, eingabe)
-      : null;
-  const frisch =
-    fenster !== null &&
-    (pending.user.totpLastCounter === null || fenster > pending.user.totpLastCounter);
-
-  const erfolg = istZiffern ? frisch : await redeemRecoveryCode(pending.user.id, eingabe);
-
-  if (!erfolg) {
-    const weiterMoeglich = await noteMfaFailure(pending.id);
-    if (!weiterMoeglich) {
-      const response = jsonError(
-        "Zu viele Fehlversuche. Bitte melde dich neu an.",
-        429,
-      );
-      clearMfaCookie(response);
-      return response;
-    }
-    return jsonError(GENERIC, 401);
-  }
-
-  await discardPendingLogin(pending.id);
-  await noteSuccessfulLogin(pending.user.id);
-
-  // Das eingeloeste Fenster merken, damit derselbe Code verbrannt ist.
-  if (fenster !== null) {
-    await prisma.user.update({
-      where: { id: pending.user.id },
-      data: { totpLastCounter: fenster },
-    });
-  }
-
-  const session = await createSession(pending.user.id, {
-    userAgent: request.headers.get("user-agent"),
-    ip,
-  });
-
-  const response = NextResponse.json({
-    ok: true,
-    user: { id: pending.user.id, username: pending.user.username, role: pending.user.role },
-  });
-  setSessionCookie(response, session.token, session.expiresAt);
-  clearMfaCookie(response);
-  return response;
-}

src/app/api/connections/[id]/route.ts

@@ -14,7 +14,7 @@ type Params = { params: Promise<{ id: string }> };
 
 const safeSelect = {
   ...connectionSafeSelect,
-  _count: { select: { repositories: true } },
+  _count: { select: { projects: true } },
 };
 
 export async function PATCH(request: Request, { params }: Params) {

src/app/api/connections/route.ts

@@ -14,7 +14,7 @@ export const dynamic = "force-dynamic";
 /** Verbindungen ohne Token-Chiffrat – das verlaesst den Server nie. */
 const safeSelect = {
   ...connectionSafeSelect,
-  _count: { select: { repositories: true } },
+  _count: { select: { projects: true } },
 };
 
 export async function GET() {

src/app/api/notes/[id]/route.ts

@@ -1,5 +1,4 @@
 import { NextResponse } from "next/server";
-import { recordActivity, shorten } from "@/lib/activity";
 import { requireUserApi } from "@/lib/auth/guard";
 import { prisma } from "@/lib/db";
 import { jsonError, readJsonBody } from "@/lib/security/request";
@@ -45,18 +44,6 @@ export async function PATCH(request: Request, { params }: Params) {
     },
   });
 
-  // Nur Anheften ist keine inhaltliche Aenderung und kommt nicht in den
-  // Verlauf – sonst steht dort dreimal dieselbe Notiz, weil jemand unschluessig war.
-  if (parsed.data.title !== undefined || parsed.data.content !== undefined) {
-    await recordActivity({
-      projectId: note.projectId,
-      userId: auth.user.id,
-      kind: "NOTE_UPDATED",
-      summary: `Notiz bearbeitet: ${shorten(updated.title || updated.content)}`,
-      meta: { noteId: id },
-    });
-  }
-
   return NextResponse.json({ note: updated });
 }
 
@@ -66,25 +53,10 @@ export async function DELETE(_request: Request, { params }: Params) {
 
   const { id } = await params;
 
-  // Vor dem Loeschen lesen: danach ist nicht mehr feststellbar, worum es ging.
-  const vorher = await prisma.note.findFirst({
-    where: { id, project: { ownerId: auth.user.id } },
-    select: { projectId: true, title: true, content: true },
-  });
-
   const result = await prisma.note.deleteMany({
     where: { id, project: { ownerId: auth.user.id } },
   });
   if (result.count === 0) return jsonError("Notiz nicht gefunden", 404);
 
-  if (vorher) {
-    await recordActivity({
-      projectId: vorher.projectId,
-      userId: auth.user.id,
-      kind: "NOTE_DELETED",
-      summary: `Notiz gelöscht: ${shorten(vorher.title || vorher.content)}`,
-    });
-  }
-
   return NextResponse.json({ ok: true });
 }

src/app/api/notifications/[id]/route.ts

@@ -1,93 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { encryptSecret, tokenHint } from "@/lib/crypto";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { BlockedHostError, assertAllowedUrl } from "@/lib/security/ssrf";
-import { targetSafeSelect } from "@/lib/notify/types";
-import { formatZodError, notificationTargetUpdateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-export async function PATCH(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  const existing = await prisma.notificationTarget.findFirst({
-    where: { id, userId: auth.user.id },
-  });
-  if (!existing) return jsonError("Ziel nicht gefunden", 404);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = notificationTargetUpdateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const data = parsed.data;
-  const update: Record<string, unknown> = {};
-
-  if (data.name !== undefined) update.name = data.name;
-  if (data.events !== undefined) update.events = data.events;
-  if (data.isActive !== undefined) update.isActive = data.isActive;
-
-  if (data.target !== undefined) {
-    if (existing.channel !== "EMAIL") {
-      try {
-        await assertAllowedUrl(data.target);
-      } catch (error) {
-        if (error instanceof BlockedHostError) {
-          return NextResponse.json(
-            { error: error.message, fields: { target: error.message } },
-            { status: 422 },
-          );
-        }
-        throw error;
-      }
-    }
-    update.target = data.target;
-  }
-
-  // Leeres Feld heisst "unveraendert", null heisst "entfernen".
-  if (data.secret !== undefined) {
-    if (data.secret) {
-      update.secretCipher = encryptSecret(data.secret);
-      update.secretHint = tokenHint(data.secret);
-    } else {
-      update.secretCipher = null;
-      update.secretHint = null;
-    }
-  }
-
-  try {
-    const target = await prisma.notificationTarget.update({
-      where: { id },
-      data: update,
-      select: targetSafeSelect,
-    });
-    return NextResponse.json({ target });
-  } catch {
-    return jsonError("Name bereits vergeben.", 409);
-  }
-}
-
-export async function DELETE(_request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  const result = await prisma.notificationTarget.deleteMany({
-    where: { id, userId: auth.user.id },
-  });
-  if (result.count === 0) return jsonError("Ziel nicht gefunden", 404);
-
-  return NextResponse.json({ ok: true });
-}

src/app/api/notifications/[id]/test/route.ts

@@ -1,40 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { deliver } from "@/lib/notify/channels";
-import { testMessage } from "@/lib/notify";
-import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
-import { clientIp, jsonError, tooManyRequests } from "@/lib/security/request";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-/** Schickt eine Testnachricht an genau dieses Ziel. */
-export async function POST(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  // Loest einen ausgehenden Aufruf aus – entsprechend begrenzt.
-  const limited = rateLimit(
-    `notify-test:${auth.user.id}:${clientIp(request)}`,
-    LIMITS.outbound.limit,
-    LIMITS.outbound.windowMs,
-  );
-  if (!limited.ok) return tooManyRequests(limited.retryAfter);
-
-  const { id } = await params;
-  const target = await prisma.notificationTarget.findFirst({
-    where: { id, userId: auth.user.id },
-  });
-  if (!target) return jsonError("Ziel nicht gefunden", 404);
-
-  const result = await deliver(target, testMessage());
-
-  await prisma.notificationTarget.update({
-    where: { id },
-    data: { lastSentAt: new Date(), lastOk: result.ok, lastMessage: result.message },
-  });
-
-  return NextResponse.json(result, { status: result.ok ? 200 : 502 });
-}

src/app/api/notifications/route.ts

@@ -1,83 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { encryptSecret, tokenHint } from "@/lib/crypto";
-import { prisma } from "@/lib/db";
-import { readJsonBody } from "@/lib/security/request";
-import { targetSafeSelect } from "@/lib/notify/types";
-import { BlockedHostError, assertAllowedUrl } from "@/lib/security/ssrf";
-import { formatZodError, notificationTargetCreateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-export async function GET() {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const targets = await prisma.notificationTarget.findMany({
-    where: { userId: auth.user.id },
-    select: targetSafeSelect,
-    orderBy: { name: "asc" },
-  });
-  return NextResponse.json({ targets });
-}
-
-export async function POST(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = notificationTargetCreateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const { name, channel, target, secret, events, isActive } = parsed.data;
-
-  // Webhook und ntfy ruft der Server spaeter selbst auf – gleiche Pruefung
-  // wie bei den Git-Verbindungen.
-  if (channel !== "EMAIL") {
-    try {
-      await assertAllowedUrl(target);
-    } catch (error) {
-      if (error instanceof BlockedHostError) {
-        return NextResponse.json(
-          { error: error.message, fields: { target: error.message } },
-          { status: 422 },
-        );
-      }
-      throw error;
-    }
-  }
-
-  const duplicate = await prisma.notificationTarget.findFirst({
-    where: { userId: auth.user.id, name },
-    select: { id: true },
-  });
-  if (duplicate) {
-    return NextResponse.json(
-      { error: "Name bereits vergeben.", fields: { name: "Name bereits vergeben" } },
-      { status: 409 },
-    );
-  }
-
-  const created = await prisma.notificationTarget.create({
-    data: {
-      userId: auth.user.id,
-      name,
-      channel,
-      target,
-      secretCipher: secret ? encryptSecret(secret) : null,
-      secretHint: secret ? tokenHint(secret) : null,
-      events,
-      isActive,
-    },
-    select: targetSafeSelect,
-  });
-
-  return NextResponse.json({ target: created }, { status: 201 });
-}

src/app/api/projects/[id]/activity/route.ts

@@ -1,44 +0,0 @@
-import { NextResponse } from "next/server";
-import { ACTIVITY_LIMIT } from "@/lib/activity";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { jsonError } from "@/lib/security/request";
-import { ownedProject } from "@/lib/tasks";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-/** Der Verlauf eines Projekts, neueste Eintraege zuerst. */
-export async function GET(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  if (!(await ownedProject(id, auth.user.id))) {
-    return jsonError("Projekt nicht gefunden", 404);
-  }
-
-  // Number(null) waere 0 und damit endlich – ohne die Pruefung auf den
-  // fehlenden Parameter kaeme genau ein Eintrag zurueck.
-  const roh = new URL(request.url).searchParams.get("limit");
-  const angefragt = roh === null ? Number.NaN : Number(roh);
-  const take = Number.isFinite(angefragt)
-    ? Math.min(Math.max(angefragt, 1), ACTIVITY_LIMIT)
-    : 30;
-
-  const activities = await prisma.activity.findMany({
-    where: { projectId: id },
-    orderBy: { createdAt: "desc" },
-    take,
-    select: {
-      id: true,
-      kind: true,
-      summary: true,
-      createdAt: true,
-      user: { select: { username: true, displayName: true } },
-    },
-  });
-
-  return NextResponse.json({ activities });
-}

src/app/api/projects/[id]/export/route.ts

@@ -1,7 +1,7 @@
 import { requireUserApi } from "@/lib/auth/guard";
 import { prisma } from "@/lib/db";
 import { exportFileName } from "@/lib/export/format";
-import { buildExportFile, exportInclude, toMarkdown } from "@/lib/export/project";
+import { buildExportFile, toMarkdown } from "@/lib/export/project";
 import { jsonError } from "@/lib/security/request";
 
 export const dynamic = "force-dynamic";
@@ -24,17 +24,10 @@ export async function GET(request: Request, { params }: Params) {
   const project = await prisma.project.findFirst({
     where: { id, ownerId: auth.user.id },
     include: {
-      ...exportInclude,
-      // Fuer die Markdown-Fassung zusaetzlich der gespeicherte Stand, damit
-      // die Datei auch ohne Netz vollstaendig ist.
-      repositories: {
-        include: {
+      notes: { orderBy: [{ pinned: "desc" }, { createdAt: "asc" }] },
       connection: { select: { name: true, provider: true, baseUrl: true } },
       snapshot: true,
     },
-        orderBy: [{ position: "asc" }, { createdAt: "asc" }],
-      },
-    },
   });
 
   if (!project) return jsonError("Projekt nicht gefunden", 404);

src/app/api/projects/[id]/notes/route.ts

@@ -1,5 +1,4 @@
 import { NextResponse } from "next/server";
-import { recordActivity, shorten } from "@/lib/activity";
 import { requireUserApi } from "@/lib/auth/guard";
 import { prisma } from "@/lib/db";
 import { jsonError, readJsonBody } from "@/lib/security/request";
@@ -65,13 +64,5 @@ export async function POST(request: Request, { params }: Params) {
   // Projekt "anfassen", damit die Sortierung nach Aktivitaet stimmt.
   await prisma.project.update({ where: { id }, data: { updatedAt: new Date() } });
 
-  await recordActivity({
-    projectId: id,
-    userId: auth.user.id,
-    kind: "NOTE_ADDED",
-    summary: `Notiz angelegt: ${shorten(note.title || note.content)}`,
-    meta: { noteId: note.id },
-  });
-
   return NextResponse.json({ note }, { status: 201 });
 }

src/app/api/projects/[id]/repositories/route.ts

@@ -1,122 +0,0 @@
-import { NextResponse } from "next/server";
-import { recordActivity, shorten } from "@/lib/activity";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { connectionSafeSelect } from "@/lib/projects";
-import {
-  completeRepoInput,
-  namesRepository,
-  nextRepoPosition,
-  repoTitle,
-} from "@/lib/repositories";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { ownedProject } from "@/lib/tasks";
-import { formatZodError, repositoryCreateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-/** Hoechstzahl je Projekt. Wer mehr braucht, hat mehrere Vorhaben. */
-const MAX_REPOS = 20;
-
-const include = {
-  connection: { select: connectionSafeSelect },
-  snapshot: true,
-} as const;
-
-export async function GET(_request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  if (!(await ownedProject(id, auth.user.id))) {
-    return jsonError("Projekt nicht gefunden", 404);
-  }
-
-  const repositories = await prisma.repository.findMany({
-    where: { projectId: id },
-    include,
-    orderBy: [{ position: "asc" }, { createdAt: "asc" }],
-  });
-
-  return NextResponse.json({ repositories });
-}
-
-export async function POST(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  if (!(await ownedProject(id, auth.user.id))) {
-    return jsonError("Projekt nicht gefunden", 404);
-  }
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = repositoryCreateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const eingabe = completeRepoInput(parsed.data);
-  if (!namesRepository(eingabe)) {
-    return jsonError("Bitte eine Repo-URL oder Owner und Name angeben.", 422);
-  }
-
-  // Eine fremde Verbindung darf nicht untergeschoben werden.
-  if (eingabe.connectionId) {
-    const connection = await prisma.gitConnection.findFirst({
-      where: { id: eingabe.connectionId, ownerId: auth.user.id },
-      select: { id: true },
-    });
-    if (!connection) return jsonError("Git-Verbindung nicht gefunden.", 404);
-  }
-
-  const vorhanden = await prisma.repository.count({ where: { projectId: id } });
-  if (vorhanden >= MAX_REPOS) {
-    return jsonError(`Mehr als ${MAX_REPOS} Repositories je Projekt sind nicht vorgesehen.`, 409);
-  }
-
-  // Dasselbe Repo zweimal am selben Projekt ist immer ein Versehen.
-  if (eingabe.repoOwner && eingabe.repoName) {
-    const doppelt = await prisma.repository.findFirst({
-      where: { projectId: id, repoOwner: eingabe.repoOwner, repoName: eingabe.repoName },
-      select: { id: true },
-    });
-    if (doppelt) {
-      return jsonError(
-        `${eingabe.repoOwner}/${eingabe.repoName} ist mit diesem Projekt bereits verknuepft.`,
-        409,
-      );
-    }
-  }
-
-  const repository = await prisma.repository.create({
-    data: {
-      projectId: id,
-      label: eingabe.label ?? null,
-      repoUrl: eingabe.repoUrl ?? null,
-      repoOwner: eingabe.repoOwner ?? null,
-      repoName: eingabe.repoName ?? null,
-      connectionId: eingabe.connectionId ?? null,
-      autoSync: eingabe.autoSync ?? true,
-      position: await nextRepoPosition(id),
-    },
-    include,
-  });
-
-  await recordActivity({
-    projectId: id,
-    userId: auth.user.id,
-    kind: "REPO_LINKED",
-    summary: `Repository verknüpft: ${shorten(repoTitle(repository))}`,
-    meta: { repositoryId: repository.id },
-  });
-
-  return NextResponse.json({ repository }, { status: 201 });
-}

src/app/api/projects/[id]/route.ts

@@ -1,17 +1,9 @@
-import type { ProjectStatus } from "@prisma/client";
 import { NextResponse } from "next/server";
-import { describeFields, describeStatus, recordActivities, shorten } from "@/lib/activity";
 import { requireUserApi } from "@/lib/auth/guard";
 import { prisma } from "@/lib/db";
-import {
-  nextProjectPosition,
-  projectDetailInclude,
-  projectListInclude,
-  uniqueSlug,
-} from "@/lib/projects";
-import { applyLeadingRepo, type RepoInput } from "@/lib/repositories";
+import { parseRepoUrl } from "@/lib/git";
+import { projectDetailInclude, projectListInclude, uniqueSlug } from "@/lib/projects";
 import { jsonError, readJsonBody } from "@/lib/security/request";
-import { refreshDerivedProgress } from "@/lib/tasks";
 import { formatZodError, projectUpdateSchema } from "@/lib/validation";
 
 export const dynamic = "force-dynamic";
@@ -82,104 +74,35 @@ export async function PATCH(request: Request, { params }: Params) {
     "accent",
     "tags",
     "favorite",
-    "progressFromTasks",
+    "autoSync",
+    "connectionId",
   ] as const) {
     if (data[key] !== undefined) update[key] = data[key];
   }
 
-  // Beim Statuswechsel ans Ende der neuen Spalte – sonst behielte das Projekt
-  // seinen alten Rang und saesse mitten in einer Spalte, in der es eben erst
-  // angekommen ist.
-  if (data.status !== undefined && data.status !== existing.status) {
-    update.position = await nextProjectPosition(auth.user.id, data.status);
+  if (data.repoUrl !== undefined) {
+    update.repoUrl = data.repoUrl;
+    const parsedUrl = data.repoUrl ? parseRepoUrl(data.repoUrl) : null;
+    if (parsedUrl) {
+      update.repoOwner = data.repoOwner ?? parsedUrl.owner;
+      update.repoName = data.repoName ?? parsedUrl.name;
+    } else if (!data.repoUrl) {
+      update.repoOwner = null;
+      update.repoName = null;
     }
-
-  await prisma.project.update({ where: { id }, data: update });
-
-  // Die Git-Felder gehen an das fuehrende Repository. Sie hier weiterhin
-  // anzunehmen erspart der Oberflaeche zwei Aufrufe fuer einen Speichervorgang.
-  const repoFelder = {
-    repoUrl: data.repoUrl,
-    repoOwner: data.repoOwner,
-    repoName: data.repoName,
-    connectionId: data.connectionId,
-    autoSync: data.autoSync,
-  };
-  const repoBeruehrt = Object.values(repoFelder).some((value) => value !== undefined);
-  if (repoBeruehrt) await applyLeadingRepo(id, repoFelder);
-
-  await noteChanges(id, auth.user.id, existing, update, repoBeruehrt ? repoFelder : null);
-
-  // Wird die Ableitung eingeschaltet, soll der Wert sofort stimmen und nicht
-  // erst beim naechsten Aufgabenwechsel.
-  if (data.progressFromTasks === true) {
-    await refreshDerivedProgress(id);
   }
+  if (data.repoOwner !== undefined) update.repoOwner = data.repoOwner;
+  if (data.repoName !== undefined) update.repoName = data.repoName;
 
-  const project = await prisma.project.findUniqueOrThrow({
+  const project = await prisma.project.update({
     where: { id },
+    data: update,
     include: projectListInclude,
   });
 
   return NextResponse.json({ project });
 }
 
-/**
- * Haelt fest, was sich geaendert hat. Status und Repo-Verknuepfung bekommen
- * einen eigenen Eintrag – sie sind die Vorgaenge, die man spaeter sucht. Alles
- * uebrige fasst ein Eintrag zusammen, sonst ertraenkt eine Feinjustage der
- * Farbe den Verlauf.
- */
-async function noteChanges(
-  projectId: string,
-  userId: string,
-  before: { status: ProjectStatus },
-  update: Record<string, unknown>,
-  repo: RepoInput | null,
-) {
-  const rest = Object.keys(update).filter((key) => key !== "status" && key !== "slug");
-  const entries: Parameters<typeof recordActivities>[0] = [];
-
-  if (update.status !== undefined && update.status !== before.status) {
-    const to = update.status as ProjectStatus;
-    entries.push({
-      projectId,
-      userId,
-      kind: "STATUS_CHANGED",
-      summary: describeStatus(before.status, to),
-      meta: { from: before.status, to },
-    });
-  }
-
-  // Nur die Verknuepfung selbst ist eine Nachricht wert. Ob der automatische
-  // Abgleich an oder aus ist, gehoert zu den uebrigen Feldern.
-  if (repo && (repo.repoUrl !== undefined || repo.repoName !== undefined)) {
-    const ziel = repo.repoUrl ?? (repo.repoOwner ? `${repo.repoOwner}/${repo.repoName}` : null);
-    entries.push({
-      projectId,
-      userId,
-      kind: "REPO_LINKED",
-      summary: ziel ? `Repository verknüpft: ${shorten(ziel)}` : "Repository-Angaben geleert",
-      meta: { repoUrl: repo.repoUrl ?? null },
-    });
-  }
-  if (repo?.autoSync !== undefined) rest.push("autoSync");
-  if (repo?.connectionId !== undefined) rest.push("connectionId");
-
-  const felder = describeFields(rest);
-  if (felder) {
-    entries.push({
-      projectId,
-      userId,
-      kind: "PROJECT_UPDATED",
-      summary: felder,
-      meta: { fields: rest },
-    });
-  }
-
-  await recordActivities(entries);
-}
-
 export async function DELETE(_request: Request, { params }: Params) {
   const auth = await requireUserApi();
   if (!auth.ok) return auth.response;

src/app/api/projects/[id]/tasks/from-issues/route.ts

@@ -1,147 +0,0 @@
-import { NextResponse } from "next/server";
-import { z } from "zod";
-import { recordActivity } from "@/lib/activity";
-import { repoTitle } from "@/lib/repositories";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { nextPosition, ownedProject, refreshDerivedProgress } from "@/lib/tasks";
-import { asArray, type TicketInfo } from "@/types";
-import { formatZodError } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-const schema = z.object({
-  /** Leer heisst: alle offenen Issues aus dem Snapshot. */
-  numbers: z.array(z.number().int()).max(200).optional(),
-  /** Aus welchem Repository. Leer heisst: dem fuehrenden. */
-  repositoryId: z.string().optional(),
-});
-
-/**
- * Uebernimmt offene Issues des verknuepften Repositories als Aufgaben.
- *
- * Grundlage ist der zuletzt geholte Snapshot – hier wird nichts nachgeladen,
- * damit ein Klick nicht ungefragt fremde APIs anspricht. Wer den neuesten
- * Stand will, gleicht vorher ab.
- *
- * Bereits uebernommene Issues werden uebersprungen: die Nummer steht an der
- * Aufgabe und ist je Projekt eindeutig. Ein zweiter Aufruf legt also keine
- * Dubletten an, auch wenn die Aufgabe inzwischen verschoben oder umbenannt
- * wurde.
- */
-export async function POST(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  if (!(await ownedProject(id, auth.user.id))) {
-    return jsonError("Projekt nicht gefunden", 404);
-  }
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = schema.safeParse(body.data ?? {});
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  // Die Besitzerbedingung laeuft ueber das Projekt, dessen Besitz eben
-  // geprueft wurde – eine fremde Repository-ID trifft hier also nichts.
-  const repository = await prisma.repository.findFirst({
-    where: { projectId: id, ...(parsed.data.repositoryId ? { id: parsed.data.repositoryId } : {}) },
-    orderBy: [{ position: "asc" }, { createdAt: "asc" }],
-    include: { snapshot: true },
-  });
-
-  if (!repository) {
-    // 404 nur, wenn nach einem bestimmten gefragt wurde. Wer nichts angibt,
-    // hat schlicht noch keines verknuepft – und das ist kein "nicht gefunden".
-    return parsed.data.repositoryId
-      ? jsonError("Repository nicht gefunden", 404)
-      : jsonError("Kein Repository verknuepft. Bitte zuerst eines hinterlegen.", 409);
-  }
-
-  const snapshot = repository.snapshot;
-  if (!snapshot) {
-    return jsonError(
-      "Noch kein Repo-Stand vorhanden. Bitte zuerst synchronisieren.",
-      409,
-    );
-  }
-
-  const alle = asArray<TicketInfo>(snapshot.issues);
-  const gewuenscht = parsed.data.numbers;
-  const auswahl = gewuenscht?.length
-    ? alle.filter((issue) => gewuenscht.includes(issue.number))
-    : alle;
-
-  if (auswahl.length === 0) {
-    return NextResponse.json({ created: 0, skipped: 0, tasks: [] });
-  }
-
-  const vorhanden = await prisma.task.findMany({
-    where: {
-      projectId: id,
-      sourceRepositoryId: repository.id,
-      sourceIssue: { in: auswahl.map((issue) => issue.number) },
-    },
-    select: { sourceIssue: true },
-  });
-  const bekannt = new Set(vorhanden.map((task) => task.sourceIssue));
-
-  const neu = auswahl.filter((issue) => !bekannt.has(issue.number));
-  let position = await nextPosition(id, "TODO");
-
-  const angelegt = [];
-  for (const issue of neu) {
-    angelegt.push(
-      await prisma.task.create({
-        data: {
-          projectId: id,
-          title: issue.title.slice(0, 200),
-          // Der Link ist das Wichtigste – der Text steht im Git-System.
-          description: issue.url ? `[Issue #${issue.number}](${issue.url})` : null,
-          status: "TODO",
-          position: position++,
-          labels: issue.labels.slice(0, 8),
-          sourceIssue: issue.number,
-          sourceUrl: issue.url,
-          sourceRepositoryId: repository.id,
-        },
-      }),
-    );
-  }
-
-  if (angelegt.length > 0) {
-    await refreshDerivedProgress(id);
-    await prisma.project.update({ where: { id }, data: { updatedAt: new Date() } });
-    // Ein Eintrag fuer den Vorgang, nicht einer je Aufgabe: sonst besteht der
-    // Verlauf nach einer Uebernahme aus nichts anderem mehr.
-    await recordActivity({
-      projectId: id,
-      userId: auth.user.id,
-      kind: "TASKS_IMPORTED",
-      summary:
-        angelegt.length === 1
-          ? `1 Issue aus ${repoTitle(repository)} als Aufgabe übernommen`
-          : `${angelegt.length} Issues aus ${repoTitle(repository)} als Aufgaben übernommen`,
-      meta: {
-        repositoryId: repository.id,
-        numbers: angelegt.map((task) => task.sourceIssue),
-      },
-    });
-  }
-
-  return NextResponse.json({
-    created: angelegt.length,
-    skipped: auswahl.length - angelegt.length,
-    tasks: angelegt,
-  });
-}

src/app/api/projects/[id]/tasks/reorder/route.ts

@@ -1,104 +0,0 @@
-import { NextResponse } from "next/server";
-import type { Prisma, TaskStatus } from "@prisma/client";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { ownedProject, refreshDerivedProgress, spawnRecurrence } from "@/lib/tasks";
-import { formatZodError, taskReorderSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-/**
- * Neue Reihenfolge nach dem Ziehen.
- *
- * Uebergeben wird je betroffener Spalte die vollstaendige Liste der Aufgaben
- * in ihrer neuen Reihenfolge. Daraus ergeben sich Status und Position
- * eindeutig – der Aufruf ist damit wiederholbar, ohne Schaden anzurichten,
- * und ein verlorener Aufruf laesst sich einfach erneut senden.
- */
-export async function PATCH(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  if (!(await ownedProject(id, auth.user.id))) {
-    return jsonError("Projekt nicht gefunden", 404);
-  }
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = taskReorderSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const columns = parsed.data.columns as Partial<Record<TaskStatus, string[]>>;
-  const requestedIds = Object.values(columns).flat();
-
-  // Nur Aufgaben anfassen, die wirklich zu diesem Projekt gehoeren – sonst
-  // liessen sich fremde Aufgaben ueber untergeschobene IDs verschieben.
-  const owned = await prisma.task.findMany({
-    where: { projectId: id, id: { in: requestedIds } },
-    select: { id: true, status: true },
-  });
-  const ownedIds = new Set(owned.map((task) => task.id));
-  const previousStatus = new Map(owned.map((task) => [task.id, task.status]));
-
-  const now = new Date();
-  const updates: Prisma.PrismaPromise<unknown>[] = [];
-  /** Wer eben erst nach ERLEDIGT gewandert ist – nicht, wer dort schon lag. */
-  const frischErledigt: string[] = [];
-
-  for (const [status, ids] of Object.entries(columns) as Array<[TaskStatus, string[]]>) {
-    ids.forEach((taskId, index) => {
-      if (!ownedIds.has(taskId)) return;
-      const before = previousStatus.get(taskId);
-      if (status === "DONE" && before !== "DONE") frischErledigt.push(taskId);
-      updates.push(
-        prisma.task.update({
-          where: { id: taskId },
-          data: {
-            status,
-            position: index,
-            // doneAt nur beim tatsaechlichen Wechsel setzen oder loeschen,
-            // damit ein Umsortieren innerhalb von "Erledigt" das Datum nicht
-            // immer wieder erneuert.
-            ...(before !== status
-              ? { doneAt: status === "DONE" ? now : null }
-              : {}),
-          },
-        }),
-      );
-    });
-  }
-
-  if (updates.length > 0) {
-    await prisma.$transaction(updates);
-
-    // Wiederkehrende Aufgaben, die eben nach ERLEDIGT gezogen wurden,
-    // bekommen ihre naechste Fassung. Erst nach der Transaktion: vorher
-    // stuende doneAt noch nicht, aus dem der Folgetermin gerechnet wird.
-    for (const taskId of frischErledigt) {
-      await spawnRecurrence(taskId);
-    }
-
-    await refreshDerivedProgress(id);
-  }
-
-  const tasks = await prisma.task.findMany({
-    where: { projectId: id },
-    orderBy: [{ status: "asc" }, { position: "asc" }],
-  });
-
-  return NextResponse.json({
-    tasks,
-    updated: updates.length,
-    ignored: requestedIds.length - updates.length,
-  });
-}

src/app/api/projects/[id]/tasks/route.ts

@@ -1,79 +0,0 @@
-import { NextResponse } from "next/server";
-import { recordActivity, shorten } from "@/lib/activity";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { nextPosition, ownedProject, refreshDerivedProgress } from "@/lib/tasks";
-import { formatZodError, taskCreateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-export async function GET(_request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  if (!(await ownedProject(id, auth.user.id))) {
-    return jsonError("Projekt nicht gefunden", 404);
-  }
-
-  const tasks = await prisma.task.findMany({
-    where: { projectId: id },
-    orderBy: [{ status: "asc" }, { position: "asc" }],
-  });
-  return NextResponse.json({ tasks });
-}
-
-export async function POST(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  if (!(await ownedProject(id, auth.user.id))) {
-    return jsonError("Projekt nicht gefunden", 404);
-  }
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = taskCreateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const { title, description, status, dueDate, labels, recurrence } = parsed.data;
-
-  const task = await prisma.task.create({
-    data: {
-      projectId: id,
-      title,
-      description: description ?? null,
-      status,
-      // Neue Aufgaben landen unten in ihrer Spalte.
-      position: await nextPosition(id, status),
-      dueDate: dueDate ? new Date(dueDate) : null,
-      labels,
-      recurrence: recurrence ?? null,
-      doneAt: status === "DONE" ? new Date() : null,
-    },
-  });
-
-  await refreshDerivedProgress(id);
-  // Damit die Sortierung nach Aktivitaet stimmt.
-  await prisma.project.update({ where: { id }, data: { updatedAt: new Date() } });
-
-  await recordActivity({
-    projectId: id,
-    userId: auth.user.id,
-    kind: "TASK_ADDED",
-    summary: `Aufgabe angelegt: ${shorten(task.title, 50)}`,
-    meta: { taskId: task.id },
-  });
-
-  return NextResponse.json({ task }, { status: 201 });
-}

src/app/api/projects/bulk/route.ts

@@ -1,150 +0,0 @@
-import { NextResponse } from "next/server";
-import type { Prisma, ProjectStatus } from "@prisma/client";
-import { describeStatus, recordActivities } from "@/lib/activity";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
-import { clientIp, readJsonBody, tooManyRequests } from "@/lib/security/request";
-import { formatZodError, projectBulkSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-/**
- * Dieselbe Aenderung fuer mehrere Projekte auf einmal.
- *
- * Der Weg ueber einen eigenen Endpunkt statt vieler einzelner PATCHes hat
- * zwei Gruende: es ist eine Transaktion statt zwanzig Rundgaengen, und der
- * Verlauf bekommt je Projekt genau einen Eintrag statt eines Schwalls.
- */
-export async function POST(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const limited = rateLimit(
-    `mutate:${clientIp(request)}`,
-    LIMITS.mutation.limit,
-    LIMITS.mutation.windowMs,
-  );
-  if (!limited.ok) return tooManyRequests(limited.retryAfter);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = projectBulkSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const { ids, action } = parsed.data;
-
-  // Die Besitzerbedingung steht zuerst: fremde IDs werden hier gar nicht
-  // erst eingesammelt und fallen damit still unter den Tisch.
-  const owned = await prisma.project.findMany({
-    where: { ownerId: auth.user.id, id: { in: ids } },
-    select: { id: true, status: true, tags: true, favorite: true, updatedAt: true },
-  });
-
-  if (owned.length === 0) {
-    return NextResponse.json({ changed: 0, ignored: ids.length });
-  }
-
-  const eigene = owned.map((project) => project.id);
-  const entries: Parameters<typeof recordActivities>[0] = [];
-
-  if (action === "delete") {
-    const result = await prisma.project.deleteMany({
-      where: { ownerId: auth.user.id, id: { in: eigene } },
-    });
-    return NextResponse.json({ changed: result.count, ignored: ids.length - result.count });
-  }
-
-  const updates: Prisma.PrismaPromise<unknown>[] = [];
-
-  // Einmal vorab bestimmen und hochzaehlen. Je Projekt neu abzufragen ergaebe
-  // immer dieselbe Zahl – die Transaktion ist ja noch nicht geschrieben, und
-  // alle Verschobenen landeten uebereinander auf derselben Position.
-  let position =
-    action === "status" ? await nextPosition(auth.user.id, parsed.data.status!) : 0;
-
-  for (const project of owned) {
-    if (action === "status") {
-      const ziel = parsed.data.status!;
-      if (project.status === ziel) continue;
-      updates.push(
-        prisma.project.update({
-          where: { id: project.id },
-          // Ans Ende der Zielspalte, wie beim einzelnen Verschieben auch.
-          data: { status: ziel, position: position++ },
-        }),
-      );
-      entries.push({
-        projectId: project.id,
-        userId: auth.user.id,
-        kind: "STATUS_CHANGED",
-        summary: describeStatus(project.status, ziel),
-        meta: { from: project.status, to: ziel, bulk: true },
-      });
-      continue;
-    }
-
-    if (action === "favorite") {
-      const ziel = parsed.data.favorite!;
-      if (project.favorite === ziel) continue;
-      updates.push(
-        prisma.project.update({
-          where: { id: project.id },
-          // Ein Stern ist keine inhaltliche Aenderung.
-          data: { favorite: ziel, updatedAt: project.updatedAt },
-        }),
-      );
-      continue;
-    }
-
-    // action === "tags"
-    const gewuenscht = parsed.data.tags!.map((tag) => tag.toLowerCase());
-    const naechste =
-      parsed.data.tagMode === "add"
-        ? Array.from(new Set([...project.tags, ...gewuenscht])).slice(0, 12)
-        : project.tags.filter((tag) => !gewuenscht.includes(tag));
-
-    if (naechste.length === project.tags.length &&
-        naechste.every((tag, index) => tag === project.tags[index])) {
-      continue;
-    }
-
-    updates.push(
-      prisma.project.update({ where: { id: project.id }, data: { tags: naechste } }),
-    );
-    entries.push({
-      projectId: project.id,
-      userId: auth.user.id,
-      kind: "PROJECT_UPDATED",
-      summary: "Tags geändert",
-      meta: { tags: naechste, bulk: true },
-    });
-  }
-
-  if (updates.length > 0) {
-    await prisma.$transaction(updates);
-    await recordActivities(entries);
-  }
-
-  return NextResponse.json({
-    changed: updates.length,
-    // Nicht geaendert, weil schon so, oder weil die ID nicht dem Konto gehoert.
-    ignored: ids.length - updates.length,
-  });
-}
-
-/** Naechste freie Position am Ende einer Statusspalte. */
-async function nextPosition(ownerId: string, status: ProjectStatus) {
-  const last = await prisma.project.findFirst({
-    where: { ownerId, status },
-    orderBy: { position: "desc" },
-    select: { position: true },
-  });
-  return (last?.position ?? -1) + 1;
-}

src/app/api/projects/import/route.ts

@@ -1,14 +1,9 @@
 import { NextResponse } from "next/server";
 import { z } from "zod";
-import { recordActivity } from "@/lib/activity";
 import { requireUserApi } from "@/lib/auth/guard";
 import { prisma } from "@/lib/db";
-import {
-  exportFileSchema,
-  repositoriesOf,
-  type ExportedRepository,
-} from "@/lib/export/format";
-import { nextProjectPosition, uniqueSlug } from "@/lib/projects";
+import { exportFileSchema, type ExportedProject } from "@/lib/export/format";
+import { uniqueSlug } from "@/lib/projects";
 import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
 import {
   IMPORT_MAX_BODY_BYTES,
@@ -89,7 +84,7 @@ export async function POST(request: Request) {
     select: { id: true, name: true, provider: true, baseUrl: true },
   });
 
-  function matchConnection(described: ExportedRepository["connection"]) {
+  function matchConnection(described: ExportedProject["connection"]) {
     if (!described) return null;
     const byName = connections.find(
       (candidate) => candidate.name.toLowerCase() === described.name.toLowerCase(),
@@ -109,26 +104,12 @@ export async function POST(request: Request) {
 
   for (const incoming of file.projects) {
     const slug = incoming.slug || slugify(incoming.name) || "projekt";
-
-    // Version 1 kannte ein Repository je Projekt und schrieb es flach; seit
-    // Version 2 steht eine Liste da. repositoriesOf glaettet den Unterschied.
-    const eingehendeRepos = repositoriesOf(incoming);
-    const repos = eingehendeRepos.map((repo, index) => ({
-      label: repo.label ?? null,
-      repoUrl: repo.repoUrl ?? null,
-      repoOwner: repo.repoOwner ?? null,
-      repoName: repo.repoName ?? null,
-      autoSync: repo.autoSync ?? true,
-      connectionId: matchConnection(repo.connection ?? null)?.id ?? null,
-      position: index,
-    }));
-
-    // Fuer die Rueckmeldung genuegt, ob ueberhaupt eine beschriebene
-    // Verbindung fehlt – welche, steht in der Datei.
-    const beschrieben = eingehendeRepos.filter((repo) => repo.connection);
-    const fehlend = beschrieben.filter((repo) => !matchConnection(repo.connection ?? null));
-    const connectionState: ItemResult["connection"] =
-      beschrieben.length === 0 ? "none" : fehlend.length > 0 ? "missing" : "matched";
+    const connection = matchConnection(incoming.connection);
+    const connectionState: ItemResult["connection"] = incoming.connection
+      ? connection
+        ? "matched"
+        : "missing"
+      : "none";
 
     const existing = await prisma.project.findFirst({
       where: { slug, ownerId: auth.user.id },
@@ -141,7 +122,7 @@ export async function POST(request: Request) {
       action: "create",
       notes: incoming.notes.length,
       connection: connectionState,
-      connectionName: (fehlend[0] ?? beschrieben[0])?.connection?.name,
+      connectionName: incoming.connection?.name,
     };
 
     if (existing && strategy === "skip") {
@@ -164,8 +145,6 @@ export async function POST(request: Request) {
     }
 
     const data = {
-      // Hinten an die Statusspalte des Bretts, in der Reihenfolge der Datei.
-      position: await nextProjectPosition(auth.user.id, incoming.status),
       name: incoming.name,
       summary: incoming.summary ?? null,
       description: incoming.description ?? null,
@@ -175,25 +154,13 @@ export async function POST(request: Request) {
       accent: incoming.accent,
       tags: incoming.tags,
       favorite: incoming.favorite,
-      progressFromTasks: incoming.progressFromTasks,
+      autoSync: incoming.autoSync,
+      repoUrl: incoming.repoUrl ?? null,
+      repoOwner: incoming.repoOwner ?? null,
+      repoName: incoming.repoName ?? null,
+      connectionId: connection?.id ?? null,
     };
 
-    const tasks = incoming.tasks.map((task, index) => ({
-      title: task.title,
-      description: task.description ?? null,
-      status: task.status,
-      // Position aus der Datei uebernehmen, notfalls die Reihenfolge in ihr.
-      position: task.position ?? index,
-      dueDate: task.dueDate && !Number.isNaN(Date.parse(task.dueDate))
-        ? new Date(task.dueDate)
-        : null,
-      labels: task.labels,
-      doneAt: task.status === "DONE" ? new Date() : null,
-      ...(task.createdAt && !Number.isNaN(Date.parse(task.createdAt))
-        ? { createdAt: new Date(task.createdAt) }
-        : {}),
-    }));
-
     const notes = incoming.notes.map((note) => ({
       title: note.title ?? null,
       content: note.content,
@@ -209,44 +176,22 @@ export async function POST(request: Request) {
         // erneuter Import erzeugt keine Dubletten.
         await prisma.$transaction([
           prisma.note.deleteMany({ where: { projectId: existing.id } }),
-          prisma.task.deleteMany({ where: { projectId: existing.id } }),
-          // Wie Notizen und Aufgaben: austauschen statt zusammenfuehren. Der
-          // gesammelte Repo-Stand geht dabei mit, ist aber beim naechsten
-          // Abgleich zurueck.
-          prisma.repository.deleteMany({ where: { projectId: existing.id } }),
           prisma.project.update({
             where: { id: existing.id },
-            data: {
-              ...data,
-              slug,
-              notes: { create: notes },
-              tasks: { create: tasks },
-              repositories: { create: repos },
-            },
+            data: { ...data, slug, notes: { create: notes } },
           }),
         ]);
         results.push({ ...base, action: "overwrite" });
       } else {
         const finalSlug = existing ? await uniqueSlug(incoming.name, auth.user.id) : slug;
-        const angelegt = await prisma.project.create({
+        await prisma.project.create({
           data: {
             ...data,
             ownerId: auth.user.id,
             slug: finalSlug,
             notes: { create: notes },
-            tasks: { create: tasks },
-            repositories: { create: repos },
           },
         });
-        // Der Verlauf wird nicht mitexportiert – der erste Eintrag hier haelt
-        // wenigstens fest, woher das Projekt stammt.
-        await recordActivity({
-          projectId: angelegt.id,
-          userId: auth.user.id,
-          kind: "PROJECT_CREATED",
-          summary: "Aus einer Exportdatei importiert",
-          meta: { notes: notes.length, tasks: tasks.length },
-        });
         results.push({
           ...base,
           action: existing ? "rename" : "create",

src/app/api/projects/reorder/route.ts

@@ -1,102 +0,0 @@
-import { NextResponse } from "next/server";
-import type { Prisma, ProjectStatus } from "@prisma/client";
-import { describeStatus, recordActivities } from "@/lib/activity";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
-import { clientIp, readJsonBody, tooManyRequests } from "@/lib/security/request";
-import { formatZodError, projectReorderSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-/**
- * Neue Reihenfolge im Brett nach dem Ziehen.
- *
- * Wie beim Aufgabenbrett wird je betroffener Spalte die vollstaendige Liste
- * uebergeben. Status und Position ergeben sich daraus eindeutig; ein
- * verlorener Aufruf laesst sich einfach erneut senden, ohne Schaden
- * anzurichten.
- */
-export async function PATCH(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const limited = rateLimit(
-    `mutate:${clientIp(request)}`,
-    LIMITS.mutation.limit,
-    LIMITS.mutation.windowMs,
-  );
-  if (!limited.ok) return tooManyRequests(limited.retryAfter);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = projectReorderSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const columns = parsed.data.columns as Partial<Record<ProjectStatus, string[]>>;
-  const requestedIds = Object.values(columns).flat();
-
-  // Nur eigene Projekte anfassen – sonst liessen sich fremde ueber
-  // untergeschobene IDs verschieben.
-  const owned = await prisma.project.findMany({
-    where: { ownerId: auth.user.id, id: { in: requestedIds } },
-    select: { id: true, status: true, updatedAt: true },
-  });
-  const ownedIds = new Set(owned.map((project) => project.id));
-  const vorher = new Map(owned.map((project) => [project.id, project]));
-
-  const updates: Prisma.PrismaPromise<unknown>[] = [];
-  const entries: Parameters<typeof recordActivities>[0] = [];
-
-  for (const [status, ids] of Object.entries(columns) as Array<[ProjectStatus, string[]]>) {
-    ids.forEach((projectId, index) => {
-      const before = vorher.get(projectId);
-      if (!ownedIds.has(projectId) || !before) return;
-
-      const gewandert = before.status !== status;
-
-      updates.push(
-        prisma.project.update({
-          where: { id: projectId },
-          data: {
-            status,
-            position: index,
-            // Beim reinen Umsortieren das Aenderungsdatum festhalten. Sonst
-            // schoebe ein Aufraeumen im Brett saemtliche Projekte in der
-            // Sortierung "Zuletzt geaendert" nach oben – das Brett wuerde die
-            // Liste umsortieren, ohne dass sich inhaltlich etwas geaendert hat.
-            ...(gewandert ? {} : { updatedAt: before.updatedAt }),
-          },
-        }),
-      );
-
-      // Ein Statuswechsel gehoert in den Verlauf, ein blosses Umsortieren
-      // nicht – sonst besteht er bald nur noch aus Rangaenderungen.
-      if (gewandert) {
-        entries.push({
-          projectId,
-          userId: auth.user.id,
-          kind: "STATUS_CHANGED",
-          summary: describeStatus(before.status, status),
-          meta: { from: before.status, to: status },
-        });
-      }
-    });
-  }
-
-  if (updates.length > 0) {
-    await prisma.$transaction(updates);
-    await recordActivities(entries);
-  }
-
-  return NextResponse.json({
-    updated: updates.length,
-    ignored: requestedIds.length - updates.length,
-  });
-}

src/app/api/projects/route.ts

@@ -1,12 +1,10 @@
 import { NextResponse } from "next/server";
-import { recordActivity } from "@/lib/activity";
 import { requireUserApi } from "@/lib/auth/guard";
 import { prisma } from "@/lib/db";
-import { nextProjectPosition, projectListInclude, uniqueSlug } from "@/lib/projects";
-import { applyLeadingRepo } from "@/lib/repositories";
+import { parseRepoUrl } from "@/lib/git";
+import { projectListInclude, uniqueSlug } from "@/lib/projects";
 import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
 import { clientIp, jsonError, readJsonBody, tooManyRequests } from "@/lib/security/request";
-import { statusOf } from "@/lib/status";
 import { formatZodError, projectCreateSchema } from "@/lib/validation";
 
 export const dynamic = "force-dynamic";
@@ -74,21 +72,18 @@ export async function POST(request: Request) {
     if (!connection) return jsonError("Git-Verbindung nicht gefunden.", 404);
   }
 
-  // Aus der Vorlage kommen nur Notizen und Aufgaben. Die Stammdaten hat die
-  // Oberflaeche schon in die Felder uebernommen, damit man sie vor dem
-  // Speichern noch sieht und aendern kann.
-  const vorlage = data.templateId
-    ? await prisma.projectTemplate.findFirst({
-        where: { id: data.templateId, ownerId: auth.user.id },
-        select: { name: true, notes: true, tasks: true },
-      })
-    : null;
-  if (data.templateId && !vorlage) return jsonError("Vorlage nicht gefunden.", 404);
+  // Owner/Name aus der URL ableiten, falls nicht explizit angegeben.
+  let repoOwner = data.repoOwner ?? null;
+  let repoName = data.repoName ?? null;
+  if (data.repoUrl && (!repoOwner || !repoName)) {
+    const parsedUrl = parseRepoUrl(data.repoUrl);
+    if (parsedUrl) {
+      repoOwner = repoOwner ?? parsedUrl.owner;
+      repoName = repoName ?? parsedUrl.name;
+    }
+  }
 
-  const notes = templateNotes(vorlage?.notes);
-  const tasks = templateTasks(vorlage?.tasks);
-
-  const angelegt = await prisma.project.create({
+  const project = await prisma.project.create({
     data: {
       ownerId: auth.user.id,
       name: data.name,
@@ -101,83 +96,14 @@ export async function POST(request: Request) {
       accent: data.accent,
       tags: data.tags,
       favorite: data.favorite,
-      progressFromTasks: data.progressFromTasks,
-      // Hinten an die Statusspalte des Bretts.
-      position: await nextProjectPosition(auth.user.id, data.status),
-      notes: { create: notes },
-      tasks: { create: tasks },
-    },
-    select: { id: true },
-  });
-
-  // Die Git-Angaben werden zum fuehrenden Repository – falls welche kamen.
-  await applyLeadingRepo(angelegt.id, {
-    repoUrl: data.repoUrl,
-    repoOwner: data.repoOwner,
-    repoName: data.repoName,
-    connectionId: data.connectionId,
       autoSync: data.autoSync,
-  });
-
-  const project = await prisma.project.findUniqueOrThrow({
-    where: { id: angelegt.id },
-    include: projectListInclude,
-  });
-
-  await recordActivity({
-    projectId: project.id,
-    userId: auth.user.id,
-    kind: "PROJECT_CREATED",
-    summary: vorlage
-      ? `Aus Vorlage „${vorlage.name}“ angelegt`
-      : data.status === "IDEA"
-        ? "Als Idee angelegt"
-        : `Angelegt mit Status „${statusOf(data.status).label}“`,
-    meta: {
-      status: data.status,
-      ...(vorlage ? { template: vorlage.name, notes: notes.length, tasks: tasks.length } : {}),
+      repoUrl: data.repoUrl ?? null,
+      repoOwner,
+      repoName,
+      connectionId: data.connectionId ?? null,
     },
+    include: projectListInclude,
   });
 
   return NextResponse.json({ project }, { status: 201 });
 }
-
-/**
- * Die Vorlage kommt als JSON aus der Datenbank und ist damit fuer TypeScript
- * unbekannt. Hier wird sie auf das Noetige zurechtgeschnitten – lieber einen
- * Eintrag auslassen als am Anlegen scheitern.
- */
-function templateNotes(value: unknown) {
-  if (!Array.isArray(value)) return [];
-  return value
-    .filter((entry): entry is Record<string, unknown> => Boolean(entry) && typeof entry === "object")
-    .filter((entry) => typeof entry.content === "string" && entry.content.trim().length > 0)
-    .slice(0, 50)
-    .map((entry) => ({
-      title: typeof entry.title === "string" ? entry.title : null,
-      content: entry.content as string,
-      pinned: entry.pinned === true,
-    }));
-}
-
-function templateTasks(value: unknown) {
-  if (!Array.isArray(value)) return [];
-  return value
-    .filter((entry): entry is Record<string, unknown> => Boolean(entry) && typeof entry === "object")
-    .filter((entry) => typeof entry.title === "string" && entry.title.trim().length > 0)
-    .slice(0, 100)
-    .map((entry, index) => ({
-      title: entry.title as string,
-      description: typeof entry.description === "string" ? entry.description : null,
-      status: (["TODO", "DOING", "BLOCKED"] as const).includes(
-        entry.status as "TODO" | "DOING" | "BLOCKED",
-      )
-        ? (entry.status as "TODO" | "DOING" | "BLOCKED")
-        : ("TODO" as const),
-      // Reihenfolge wie in der Vorlage.
-      position: index,
-      labels: Array.isArray(entry.labels)
-        ? entry.labels.filter((label): label is string => typeof label === "string").slice(0, 8)
-        : [],
-    }));
-}

src/app/api/repositories/[id]/route.ts

@@ -1,93 +0,0 @@
-import { NextResponse } from "next/server";
-import { recordActivity, shorten } from "@/lib/activity";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { connectionSafeSelect } from "@/lib/projects";
-import { completeRepoInput, ownedRepository, repoTitle } from "@/lib/repositories";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { formatZodError, repositoryUpdateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-export async function PATCH(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  const existing = await ownedRepository(id, auth.user.id);
-  if (!existing) return jsonError("Repository nicht gefunden", 404);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = repositoryUpdateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const eingabe = completeRepoInput(parsed.data);
-
-  if (eingabe.connectionId) {
-    const connection = await prisma.gitConnection.findFirst({
-      where: { id: eingabe.connectionId, ownerId: auth.user.id },
-      select: { id: true },
-    });
-    if (!connection) return jsonError("Git-Verbindung nicht gefunden.", 404);
-  }
-
-  const data: Record<string, unknown> = {};
-  for (const key of ["label", "repoUrl", "repoOwner", "repoName", "connectionId", "autoSync"] as const) {
-    if (eingabe[key] !== undefined) data[key] = eingabe[key];
-  }
-  if (parsed.data.position !== undefined) data.position = parsed.data.position;
-
-  // Zeigt das Repo woandershin, taugt der gesammelte Stand nicht mehr. Ihn
-  // stehen zu lassen waere schlimmer als ihn zu verlieren: er saehe echt aus.
-  const zieltWoandershin =
-    (eingabe.repoOwner !== undefined && eingabe.repoOwner !== existing.repoOwner) ||
-    (eingabe.repoName !== undefined && eingabe.repoName !== existing.repoName);
-  if (zieltWoandershin) {
-    data.lastSyncedAt = null;
-    data.syncError = null;
-    data.syncFailureCount = 0;
-    data.notifiedSyncError = null;
-    data.notifiedCiState = null;
-    data.notifiedRelease = null;
-    await prisma.repoSnapshot.deleteMany({ where: { repositoryId: id } });
-  }
-
-  const repository = await prisma.repository.update({
-    where: { id },
-    data,
-    include: { connection: { select: connectionSafeSelect }, snapshot: true },
-  });
-
-  return NextResponse.json({ repository });
-}
-
-export async function DELETE(_request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-
-  // Vor dem Loeschen lesen: danach ist nicht mehr feststellbar, worum es ging.
-  const vorher = await ownedRepository(id, auth.user.id);
-  if (!vorher) return jsonError("Repository nicht gefunden", 404);
-
-  await prisma.repository.delete({ where: { id } });
-
-  await recordActivity({
-    projectId: vorher.projectId,
-    userId: auth.user.id,
-    kind: "REPO_LINKED",
-    summary: `Repository entfernt: ${shorten(repoTitle(vorher))}`,
-  });
-
-  return NextResponse.json({ ok: true });
-}

src/app/api/repositories/[id]/sync/route.ts

@@ -1,41 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { connectionSafeSelect } from "@/lib/projects";
-import { ownedRepository } from "@/lib/repositories";
-import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
-import { clientIp, jsonError, tooManyRequests } from "@/lib/security/request";
-import { syncRepository } from "@/lib/sync";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-/** Gleicht ein einzelnes Repository ab. */
-export async function POST(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  // Dieser Endpunkt loest ausgehende Verbindungen aus – hier wird enger
-  // begrenzt als bei reinen Datenbankzugriffen.
-  const limited = rateLimit(
-    `outbound:${auth.user.id}:${clientIp(request)}`,
-    LIMITS.outbound.limit,
-    LIMITS.outbound.windowMs,
-  );
-  if (!limited.ok) return tooManyRequests(limited.retryAfter);
-
-  const { id } = await params;
-  if (!(await ownedRepository(id, auth.user.id))) {
-    return jsonError("Repository nicht gefunden", 404);
-  }
-
-  const result = await syncRepository(id);
-
-  const repository = await prisma.repository.findUnique({
-    where: { id },
-    include: { connection: { select: connectionSafeSelect }, snapshot: true },
-  });
-
-  return NextResponse.json({ ...result, repository }, { status: result.ok ? 200 : 502 });
-}

src/app/api/search/route.ts

@@ -1,67 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-
-export const dynamic = "force-dynamic";
-
-interface Hit {
-  projectId: string;
-  noteId: string;
-  title: string | null;
-  /** Textausschnitt mit hervorgehobener Fundstelle. */
-  snippet: string;
-}
-
-/**
- * Volltextsuche ueber Notizen.
- *
- * Die Suche im Board arbeitet auf den bereits geladenen Projekten und deckt
- * Name, Kurzbeschreibung und Tags ab. Notizen liegen dort nicht vor – die
- * mitzuladen wuerde die Seite unnoetig aufblaehen. Deshalb dieser Endpunkt:
- * Postgres sucht mit seiner deutschen Textsuche direkt in der Datenbank.
- *
- * ts_headline liefert gleich den passenden Ausschnitt mit; die Hervorhebung
- * kommt als [[…]] zurueck, damit die Oberflaeche kein HTML einbetten muss.
- */
-export async function GET(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const query = (new URL(request.url).searchParams.get("q") ?? "").trim();
-  if (query.length < 2) {
-    return NextResponse.json({ query, hits: [], projectIds: [] });
-  }
-
-  // websearch_to_tsquery versteht Eingaben wie "docker -compose" oder
-  // Anfuehrungszeichen und wirft bei Unsinn keinen Fehler.
-  const hits = await prisma.$queryRaw<Hit[]>`
-    SELECT
-      n."projectId" AS "projectId",
-      n."id"        AS "noteId",
-      n."title"     AS "title",
-      ts_headline(
-        'german',
-        n."content",
-        websearch_to_tsquery('german', ${query}),
-        'StartSel=[[, StopSel=]], MaxWords=18, MinWords=6, ShortWord=2, MaxFragments=1'
-      ) AS "snippet"
-    FROM "Note" n
-    JOIN "Project" p ON p."id" = n."projectId"
-    WHERE p."ownerId" = ${auth.user.id}
-      AND to_tsvector('german', coalesce(n."title", '') || ' ' || n."content")
-          @@ websearch_to_tsquery('german', ${query})
-    ORDER BY ts_rank(
-      to_tsvector('german', coalesce(n."title", '') || ' ' || n."content"),
-      websearch_to_tsquery('german', ${query})
-    ) DESC
-    LIMIT 50
-  `;
-
-  return NextResponse.json({
-    query,
-    hits,
-    // Die Oberflaeche braucht vor allem die betroffenen Projekte, um sie im
-    // Board einzublenden.
-    projectIds: Array.from(new Set(hits.map((hit) => hit.projectId))),
-  });
-}

src/app/api/tasks/[id]/route.ts

@@ -1,115 +0,0 @@
-import type { TaskStatus } from "@prisma/client";
-import { NextResponse } from "next/server";
-import { recordActivity, shorten } from "@/lib/activity";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import {
-  TASK_STATUS_META,
-  nextPosition,
-  refreshDerivedProgress,
-  spawnRecurrence,
-} from "@/lib/tasks";
-import { formatZodError, taskUpdateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-/** Eine Aufgabe gehoert dem, dem das zugehoerige Projekt gehoert. */
-async function ownedTask(taskId: string, ownerId: string) {
-  return prisma.task.findFirst({
-    where: { id: taskId, project: { ownerId } },
-    select: { id: true, projectId: true, status: true, title: true },
-  });
-}
-
-export async function PATCH(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  const existing = await ownedTask(id, auth.user.id);
-  if (!existing) return jsonError("Aufgabe nicht gefunden", 404);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = taskUpdateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const data = parsed.data;
-  const update: Record<string, unknown> = {};
-
-  if (data.title !== undefined) update.title = data.title;
-  if (data.description !== undefined) update.description = data.description;
-  if (data.labels !== undefined) update.labels = data.labels;
-  if (data.recurrence !== undefined) update.recurrence = data.recurrence;
-  if (data.dueDate !== undefined) {
-    update.dueDate = data.dueDate ? new Date(data.dueDate) : null;
-  }
-
-  if (data.status !== undefined && data.status !== existing.status) {
-    update.status = data.status;
-    // Beim Spaltenwechsel ans Ende der neuen Spalte.
-    update.position = await nextPosition(existing.projectId, data.status);
-    // doneAt nur setzen, wenn die Aufgabe wirklich nach DONE wandert.
-    update.doneAt = data.status === "DONE" ? new Date() : null;
-  }
-
-  const task = await prisma.task.update({ where: { id }, data: update });
-
-  // Genau beim Uebergang nach ERLEDIGT entsteht die naechste Fassung. Ein
-  // erneutes Speichern einer schon erledigten Aufgabe darf keine zweite
-  // erzeugen – deshalb haengt es an update.status und nicht an data.status.
-  const folge =
-    update.status === "DONE" && existing.status !== "DONE"
-      ? await spawnRecurrence(id)
-      : null;
-
-  await refreshDerivedProgress(existing.projectId);
-
-  // Nur der Spaltenwechsel kommt in den Verlauf. Ein umbenannter Titel oder
-  // ein neues Label sind zu kleinteilig, um die Geschichte des Projekts zu
-  // erzaehlen – und beim Ziehen im Brett ist der Wechsel die eigentliche Tat.
-  if (update.status !== undefined) {
-    const nach = update.status as TaskStatus;
-    await recordActivity({
-      projectId: existing.projectId,
-      userId: auth.user.id,
-      kind: "TASK_MOVED",
-      summary: folge
-        ? `Aufgabe „${shorten(task.title, 40)}“ erledigt, nächste angelegt`
-        : `Aufgabe „${shorten(task.title, 50)}“ → ${TASK_STATUS_META[nach].label}`,
-      meta: { taskId: id, from: existing.status, to: nach, ...(folge ? { next: folge.id } : {}) },
-    });
-  }
-
-  return NextResponse.json({ task, next: folge });
-}
-
-export async function DELETE(_request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  const existing = await ownedTask(id, auth.user.id);
-  if (!existing) return jsonError("Aufgabe nicht gefunden", 404);
-
-  await prisma.task.delete({ where: { id } });
-  await refreshDerivedProgress(existing.projectId);
-
-  await recordActivity({
-    projectId: existing.projectId,
-    userId: auth.user.id,
-    kind: "TASK_DELETED",
-    summary: `Aufgabe gelöscht: ${shorten(existing.title, 50)}`,
-  });
-
-  return NextResponse.json({ ok: true });
-}

src/app/api/templates/[id]/route.ts

@@ -1,60 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { jsonError, readJsonBody } from "@/lib/security/request";
-import { formatZodError, templateUpdateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-type Params = { params: Promise<{ id: string }> };
-
-export async function PATCH(request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-  const existing = await prisma.projectTemplate.findFirst({
-    where: { id, ownerId: auth.user.id },
-    select: { id: true },
-  });
-  if (!existing) return jsonError("Vorlage nicht gefunden", 404);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = templateUpdateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const data = parsed.data;
-
-  if (data.name) {
-    const doppelt = await prisma.projectTemplate.findFirst({
-      where: { ownerId: auth.user.id, name: data.name, id: { not: id } },
-      select: { id: true },
-    });
-    if (doppelt) return jsonError(`Eine Vorlage „${data.name}“ gibt es bereits.`, 409);
-  }
-
-  const template = await prisma.projectTemplate.update({ where: { id }, data });
-  return NextResponse.json({ template });
-}
-
-export async function DELETE(_request: Request, { params }: Params) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const { id } = await params;
-
-  // deleteMany mit Besitzerbedingung: trifft fremde Vorlagen gar nicht erst.
-  const result = await prisma.projectTemplate.deleteMany({
-    where: { id, ownerId: auth.user.id },
-  });
-  if (result.count === 0) return jsonError("Vorlage nicht gefunden", 404);
-
-  return NextResponse.json({ ok: true });
-}

src/app/api/templates/from-project/route.ts

@@ -1,95 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
-import { clientIp, jsonError, readJsonBody, tooManyRequests } from "@/lib/security/request";
-import { formatZodError, templateFromProjectSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-/**
- * Aus einem vorhandenen Projekt eine Vorlage machen.
- *
- * Das ist der Weg, auf dem Vorlagen ueblicherweise entstehen: man richtet ein
- * Projekt so ein, wie es passt, und haelt das dann fest. Eine Vorlage von
- * Grund auf zu tippen kann man auch – ueber POST /api/templates.
- *
- * Nicht mitgenommen wird alles Projektbezogene: Name, Slug, Fortschritt,
- * Favorit und vor allem die Repositories. Eine Vorlage, die jedes neue
- * Projekt an dasselbe Repository haengt, waere eine Falle.
- */
-export async function POST(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const limited = rateLimit(
-    `mutate:${clientIp(request)}`,
-    LIMITS.mutation.limit,
-    LIMITS.mutation.windowMs,
-  );
-  if (!limited.ok) return tooManyRequests(limited.retryAfter);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = templateFromProjectSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const { projectId, name, description, withNotes, withTasks } = parsed.data;
-
-  const project = await prisma.project.findFirst({
-    where: { id: projectId, ownerId: auth.user.id },
-    include: {
-      notes: { orderBy: [{ pinned: "desc" }, { createdAt: "asc" }] },
-      tasks: { orderBy: [{ status: "asc" }, { position: "asc" }] },
-    },
-  });
-  if (!project) return jsonError("Projekt nicht gefunden", 404);
-
-  const doppelt = await prisma.projectTemplate.findFirst({
-    where: { ownerId: auth.user.id, name },
-    select: { id: true },
-  });
-  if (doppelt) return jsonError(`Eine Vorlage „${name}“ gibt es bereits.`, 409);
-
-  const template = await prisma.projectTemplate.create({
-    data: {
-      ownerId: auth.user.id,
-      name,
-      description: description ?? null,
-      summary: project.summary,
-      projectDescription: project.description,
-      status: project.status,
-      priority: project.priority,
-      accent: project.accent,
-      tags: project.tags,
-      progressFromTasks: project.progressFromTasks,
-      notes: withNotes
-        ? project.notes.map((note) => ({
-            title: note.title,
-            content: note.content,
-            pinned: note.pinned,
-          }))
-        : [],
-      // Erledigte Aufgaben kommen nicht mit: eine Vorlage beschreibt, was zu
-      // tun ist, nicht was einmal getan wurde.
-      tasks: withTasks
-        ? project.tasks
-            .filter((task) => task.status !== "DONE")
-            .map((task) => ({
-              title: task.title,
-              description: task.description,
-              status: task.status,
-              labels: task.labels,
-            }))
-        : [],
-    },
-  });
-
-  return NextResponse.json({ template }, { status: 201 });
-}

src/app/api/templates/route.ts

@@ -1,80 +0,0 @@
-import { NextResponse } from "next/server";
-import { requireUserApi } from "@/lib/auth/guard";
-import { prisma } from "@/lib/db";
-import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
-import { clientIp, jsonError, readJsonBody, tooManyRequests } from "@/lib/security/request";
-import { formatZodError, templateCreateSchema } from "@/lib/validation";
-
-export const dynamic = "force-dynamic";
-
-/** Hoechstzahl je Konto. Wer mehr braucht, hat keine Vorlagen mehr, sondern Projekte. */
-const MAX_TEMPLATES = 30;
-
-export async function GET() {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const templates = await prisma.projectTemplate.findMany({
-    where: { ownerId: auth.user.id },
-    orderBy: { name: "asc" },
-  });
-
-  return NextResponse.json({ templates });
-}
-
-export async function POST(request: Request) {
-  const auth = await requireUserApi();
-  if (!auth.ok) return auth.response;
-
-  const limited = rateLimit(
-    `mutate:${clientIp(request)}`,
-    LIMITS.mutation.limit,
-    LIMITS.mutation.windowMs,
-  );
-  if (!limited.ok) return tooManyRequests(limited.retryAfter);
-
-  const body = await readJsonBody(request);
-  if (!body.ok) return body.response;
-
-  const parsed = templateCreateSchema.safeParse(body.data);
-  if (!parsed.success) {
-    return NextResponse.json(
-      { error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
-      { status: 422 },
-    );
-  }
-
-  const vorhanden = await prisma.projectTemplate.count({ where: { ownerId: auth.user.id } });
-  if (vorhanden >= MAX_TEMPLATES) {
-    return jsonError(`Mehr als ${MAX_TEMPLATES} Vorlagen sind nicht vorgesehen.`, 409);
-  }
-
-  const data = parsed.data;
-
-  // Der Name ist je Konto eindeutig; ein Duplikat soll eine verstaendliche
-  // Meldung geben statt eines Datenbankfehlers.
-  const doppelt = await prisma.projectTemplate.findFirst({
-    where: { ownerId: auth.user.id, name: data.name },
-    select: { id: true },
-  });
-  if (doppelt) return jsonError(`Eine Vorlage „${data.name}“ gibt es bereits.`, 409);
-
-  const template = await prisma.projectTemplate.create({
-    data: {
-      ownerId: auth.user.id,
-      name: data.name,
-      description: data.description ?? null,
-      summary: data.summary ?? null,
-      projectDescription: data.projectDescription ?? null,
-      status: data.status,
-      priority: data.priority,
-      accent: data.accent,
-      tags: data.tags,
-      progressFromTasks: data.progressFromTasks,
-      notes: data.notes,
-      tasks: data.tasks,
-    },
-  });
-
-  return NextResponse.json({ template }, { status: 201 });
-}

src/app/components.css

@@ -89,155 +89,6 @@
       0 28px 70px -24px rgba(0, 0, 0, 0.95);
   }
 
-  /**
-   * Markdown-Inhalte. Tailwind setzt in seinem Preflight alle Abstaende und
-   * Schriftgroessen zurueck, also muessen Ueberschriften, Listen und
-   * Codebloecke hier wieder Form bekommen.
-   */
-  .md {
-    font-size: 0.875rem;
-    line-height: 1.65;
-    color: #cbd5e1;
-    overflow-wrap: break-word;
-  }
-
-  .md > *:first-child { margin-top: 0; }
-  .md > *:last-child { margin-bottom: 0; }
-
-  .md h1, .md h2, .md h3, .md h4 {
-    color: #f1f5f9;
-    font-weight: 600;
-    line-height: 1.3;
-    margin: 1.4em 0 0.5em;
-  }
-  .md h1 { font-size: 1.3rem; }
-  .md h2 { font-size: 1.15rem; }
-  .md h3 { font-size: 1rem; }
-  .md h4 { font-size: 0.9rem; }
-
-  .md p { margin: 0.75em 0; }
-
-  .md a {
-    color: #c4b5fd;
-    text-decoration: underline;
-    text-underline-offset: 2px;
-  }
-  .md a:hover { color: #ddd6fe; }
-
-  /* Bilder werden nicht geladen, sondern als Marke gezeigt – siehe die
-     Begruendung in Markdown.tsx. Damit sie nicht wie Fliesstext aussieht,
-     bekommt sie einen Rahmen und ein Symbol davor. */
-  .md .md-image {
-    display: inline-flex;
-    align-items: center;
-    gap: 0.3em;
-    border: 1px dashed rgba(255, 255, 255, 0.16);
-    border-radius: 0.4rem;
-    padding: 0.05em 0.45em;
-    font-size: 0.85em;
-    color: #8a98b0;
-    text-decoration: none;
-    vertical-align: baseline;
-  }
-  .md .md-image::before {
-    content: "▣";
-    opacity: 0.6;
-  }
-  .md a.md-image:hover {
-    color: #c4b5fd;
-    border-color: rgba(196, 181, 253, 0.4);
-  }
-
-  .md strong { color: #f1f5f9; font-weight: 600; }
-
-  .md ul, .md ol { margin: 0.75em 0; padding-left: 1.35em; }
-  .md ul { list-style: disc; }
-  .md ol { list-style: decimal; }
-  .md li { margin: 0.3em 0; }
-  .md li::marker { color: #64748b; }
-
-  /* Aufgabenlisten aus "- [ ] …" */
-  .md li:has(> input[type="checkbox"]) {
-    list-style: none;
-    margin-left: -1.35em;
-    display: flex;
-    align-items: flex-start;
-    gap: 0.5rem;
-  }
-  .md input[type="checkbox"] {
-    margin-top: 0.35em;
-    accent-color: #8b5cf6;
-    width: 0.9rem;
-    height: 0.9rem;
-    flex-shrink: 0;
-  }
-
-  .md code {
-    background: rgba(255, 255, 255, 0.07);
-    border: 1px solid rgba(255, 255, 255, 0.07);
-    border-radius: 0.35rem;
-    padding: 0.1em 0.35em;
-    font-family: var(--font-mono);
-    font-size: 0.85em;
-    color: #e9d5ff;
-  }
-
-  .md pre {
-    background: rgba(4, 6, 16, 0.75);
-    border: 1px solid rgba(255, 255, 255, 0.08);
-    border-radius: 0.75rem;
-    padding: 0.85rem 1rem;
-    margin: 0.9em 0;
-    overflow-x: auto;
-  }
-  .md pre code {
-    background: none;
-    border: none;
-    padding: 0;
-    color: #cbd5e1;
-    font-size: 0.8rem;
-    line-height: 1.6;
-  }
-
-  .md blockquote {
-    border-left: 2px solid rgba(167, 139, 250, 0.5);
-    padding-left: 0.9rem;
-    margin: 0.9em 0;
-    color: #94a3b8;
-    font-style: italic;
-  }
-
-  .md hr {
-    border: 0;
-    border-top: 1px solid rgba(255, 255, 255, 0.09);
-    margin: 1.4em 0;
-  }
-
-  .md table {
-    width: 100%;
-    margin: 0.9em 0;
-    border-collapse: collapse;
-    font-size: 0.8rem;
-    display: block;
-    overflow-x: auto;
-  }
-  .md th, .md td {
-    border: 1px solid rgba(255, 255, 255, 0.09);
-    padding: 0.4rem 0.6rem;
-    text-align: left;
-  }
-  .md th {
-    background: rgba(255, 255, 255, 0.04);
-    color: #e2e8f0;
-    font-weight: 600;
-  }
-
-  .md img {
-    max-width: 100%;
-    height: auto;
-    border-radius: 0.5rem;
-  }
-
   /* ── Text & Akzente ───────────────────────────────────────── */
 
   .text-gradient {

src/app/connections/page.tsx

@@ -17,7 +17,7 @@ export default async function ConnectionsPage() {
 
   const connections = await prisma.gitConnection.findMany({
     where: { ownerId: user.id },
-    select: { ...connectionSafeSelect, _count: { select: { repositories: true } } },
+    select: { ...connectionSafeSelect, _count: { select: { projects: true } } },
     orderBy: { name: "asc" },
   });
 

src/app/globals.css

@@ -16,22 +16,6 @@
   --color-void-soft: #0a0c1a;
   --color-haze: #12142b;
 
-  /* ── Gedaempfte Textfarben ──────────────────────────────────
-     Tailwinds slate-500 und slate-600 kommen auf diesem sehr dunklen
-     Untergrund nur auf 3,8 bzw. 2,5 zu 1. WCAG AA verlangt 4,5 fuer
-     normalen Text, und beide werden hier reichlich fuer Hinweise und
-     Nebenangaben benutzt – axe-core hat das an 26 Stellen beanstandet.
-
-     Statt an hundert Stellen die Klasse zu tauschen, werden die beiden
-     Stufen hier aufgehellt. Der Abstand zwischen ihnen bleibt sichtbar,
-     der Rest des Entwurfs unangetastet.
-
-     Geprueft gegen die drei vorkommenden Untergruende #0b0d1c (Seite),
-     #0e0f17 (.glass) und #14141d (.popover) – der schlechteste Wert
-     zaehlt. */
-  --color-slate-500: #8a98b0; /* 6,3 : 1 */
-  --color-slate-600: #78879f; /* 5,0 : 1 */
-
   --font-sans: ui-sans-serif, system-ui, -apple-system, "Segoe UI", Roboto,
     "Helvetica Neue", Arial, "Noto Sans", sans-serif;
   --font-mono: ui-monospace, "Cascadia Code", "Source Code Pro", Menlo,

src/app/layout.tsx

@@ -1,9 +1,7 @@
 import type { Metadata, Viewport } from "next";
-import { ChangelogButton } from "@/components/ChangelogButton";
-import { CommandPalette } from "@/components/CommandPalette";
 import { TopNav } from "@/components/TopNav";
 import { getSessionUser } from "@/lib/auth/session";
-import { APP_NAME, APP_TAGLINE, APP_VERSION } from "@/lib/config";
+import { APP_NAME, APP_TAGLINE } from "@/lib/config";
 import "./globals.css";
 
 /**
@@ -21,20 +19,6 @@ export async function generateMetadata(): Promise<Metadata> {
       "Uebersicht ueber alle Vibe-Coding Projekte: Status, Notizen und Live-Daten aus GitHub, GitLab und Gitea.",
     applicationName: APP_NAME,
     robots: { index: false, follow: false },
-    manifest: "/manifest.webmanifest",
-    // iOS liest das Manifest nicht; dort braucht es diese Angaben einzeln.
-    appleWebApp: { capable: true, title: APP_NAME, statusBarStyle: "black-translucent" },
-    // Beide Eintraege ausdruecklich: sobald hier etwas steht, ersetzt es den
-    // Verweis, den Next aus app/icon.svg von selbst erzeugt. Ohne die erste
-    // Zeile haette die Seite gar kein Symbol mehr und der Browser fiele auf
-    // /favicon.ico zurueck – das es hier nicht gibt.
-    icons: {
-      icon: [
-        { url: "/icon.svg", type: "image/svg+xml" },
-        { url: "/icon-192.png", sizes: "192x192", type: "image/png" },
-      ],
-      apple: "/apple-touch-icon.png",
-    },
   };
 }
 
@@ -61,9 +45,6 @@ export default async function RootLayout({
 
         <TopNav user={user} appName={APP_NAME} tagline={APP_TAGLINE} />
 
-        {/* Nur fuer Angemeldete – auf der Anmeldeseite gibt es nichts zu suchen. */}
-        {user ? <CommandPalette isAdmin={user.role === "ADMIN"} /> : null}
-
         <main className="mx-auto w-full max-w-[1400px] px-4 pb-24 pt-6 sm:px-6 lg:px-8">
           {children}
         </main>
@@ -71,7 +52,7 @@ export default async function RootLayout({
         <footer className="mx-auto w-full max-w-[1400px] px-4 pb-10 text-xs text-slate-500 sm:px-6 lg:px-8">
           <div className="flex flex-wrap items-center justify-between gap-2 border-t border-white/5 pt-6">
             <span>{APP_NAME} · lokal betrieben, Daten bleiben in deiner PostgreSQL.</span>
-            <ChangelogButton version={APP_VERSION} />
+            <span className="font-mono text-slate-600">v0.2.0</span>
           </div>
         </footer>
       </body>

src/app/manifest.ts

@@ -1,41 +0,0 @@
-import type { MetadataRoute } from "next";
-import { APP_NAME, APP_TAGLINE } from "@/lib/config";
-
-/**
- * Web-App-Manifest: macht Nebula auf dem Handy installierbar.
- *
- * Als Funktion und nicht als Konstante, aus demselben Grund wie bei
- * generateMetadata: nur so wird APP_NAME zur Laufzeit gelesen. Ein
- * konstanter Export waere beim Build eingefroren und liesse sich im
- * fertigen Docker-Image nicht mehr aendern.
- */
-export const dynamic = "force-dynamic";
-
-export default function manifest(): MetadataRoute.Manifest {
-  return {
-    name: `${APP_NAME} – ${APP_TAGLINE} Dashboard`,
-    short_name: APP_NAME,
-    description:
-      "Uebersicht ueber alle Vibe-Coding-Projekte: Status, Notizen und Live-Daten aus GitHub, GitLab und Gitea.",
-    // Ohne Adressleiste, aber mit den Systemleisten – die Anwendung braucht
-    // keinen Vollbildmodus, wohl aber die Uhrzeit und den Akkustand.
-    display: "standalone",
-    start_url: "/",
-    scope: "/",
-    background_color: "#05060f",
-    theme_color: "#05060f",
-    lang: "de",
-    orientation: "any",
-    icons: [
-      { src: "/icon-192.png", sizes: "192x192", type: "image/png", purpose: "any" },
-      { src: "/icon-512.png", sizes: "512x512", type: "image/png", purpose: "any" },
-      // Getrennte Fassung mit mehr Rand: Android schneidet maskierbare
-      // Symbole je nach Geraet rund, eckig oder als Tropfen zu.
-      { src: "/icon-maskable-512.png", sizes: "512x512", type: "image/png", purpose: "maskable" },
-    ],
-    shortcuts: [
-      { name: "Dashboard", url: "/" },
-      { name: "Mein Konto", url: "/account" },
-    ],
-  };
-}

src/app/page.tsx

@@ -29,7 +29,7 @@ export default async function DashboardPage() {
   const ideas = active.filter((project) => project.status === "IDEA").length;
   const inDev = active.filter((project) => project.status === "IN_DEVELOPMENT").length;
   const done = active.filter((project) => project.status === "DONE").length;
-  const linked = active.filter((project) => project.repositories.length > 0).length;
+  const linked = active.filter((project) => Boolean(project.repoOwner && project.repoName)).length;
 
   const averageProgress =
     active.length > 0

src/app/projects/[id]/page.tsx

@@ -1,13 +1,9 @@
 import type { Metadata } from "next";
 import { notFound } from "next/navigation";
 import { FileText } from "lucide-react";
-import { ActivityFeed } from "@/components/ActivityFeed";
 import { GitPanel } from "@/components/GitPanel";
-import { Markdown } from "@/components/Markdown";
 import { NotesPanel } from "@/components/NotesPanel";
-import { ReadmePanel } from "@/components/ReadmePanel";
 import { ProjectHeader } from "@/components/ProjectHeader";
-import { TaskBoard } from "@/components/tasks/TaskBoard";
 import { requireUserPage } from "@/lib/auth/guard";
 import { getSessionUser } from "@/lib/auth/session";
 import { prisma } from "@/lib/db";
@@ -55,20 +51,6 @@ export default async function ProjectPage({ params }: PageProps) {
 
   const detail = project as unknown as ProjectDetail;
 
-  const fuehrend = detail.repositories[0]?.snapshot;
-  const readme = fuehrend?.readme
-    ? {
-        content: fuehrend.readme,
-        path: fuehrend.readmePath,
-        baseUrl: fuehrend.readmeBaseUrl,
-        // Die Basis endet auf dem Verzeichnis; angehaengt ergibt das die Datei.
-        fileUrl:
-          fuehrend.readmeBaseUrl && fuehrend.readmePath
-            ? `${fuehrend.readmeBaseUrl}${fuehrend.readmePath.split("/").pop()}`
-            : (fuehrend.htmlUrl ?? null),
-      }
-    : null;
-
   return (
     <div className="space-y-6 pt-4">
       <ProjectHeader
@@ -76,12 +58,6 @@ export default async function ProjectPage({ params }: PageProps) {
         connections={connections as unknown as ConnectionSafe[]}
       />
 
-      <TaskBoard
-        projectId={detail.id}
-        tasks={detail.tasks}
-        progressFromTasks={detail.progressFromTasks}
-      />
-
       <div className="grid gap-6 lg:grid-cols-12">
         <div className="space-y-6 lg:col-span-5">
           <section className="glass p-5">
@@ -90,7 +66,9 @@ export default async function ProjectPage({ params }: PageProps) {
               Beschreibung
             </h2>
             {detail.description ? (
-              <Markdown className="mt-3">{detail.description}</Markdown>
+              <p className="mt-3 whitespace-pre-wrap break-words text-sm leading-relaxed text-slate-300">
+                {detail.description}
+              </p>
             ) : (
               <p className="mt-3 text-sm text-slate-500">
                 Keine Beschreibung hinterlegt. Ueber „Bearbeiten“ kannst du die Idee ausformulieren.
@@ -98,26 +76,11 @@ export default async function ProjectPage({ params }: PageProps) {
             )}
           </section>
 
-          {/* Das README des fuehrenden Repositories – bei mehreren waere eine
-              zweite Vorschau untereinander mehr Laenge als Nutzen. */}
-          {readme ? (
-            <ReadmePanel
-              content={readme.content}
-              path={readme.path}
-              baseUrl={readme.baseUrl}
-              fileUrl={readme.fileUrl}
-            />
-          ) : null}
-
           <NotesPanel projectId={detail.id} notes={detail.notes} />
         </div>
 
-        <div className="space-y-6 lg:col-span-7">
-          <GitPanel
-            project={detail}
-            connections={connections as unknown as ConnectionSafe[]}
-          />
-          <ActivityFeed projectId={detail.id} initial={detail.activities} />
+        <div className="lg:col-span-7">
+          <GitPanel project={detail} />
         </div>
       </div>
     </div>

src/components/ActivityFeed.tsx

@@ -1,148 +0,0 @@
-"use client";
-
-import { useState } from "react";
-import {
-  AlertTriangle,
-  ArrowRight,
-  Bot,
-  Download,
-  GitCommitHorizontal,
-  History,
-  Link2,
-  Loader2,
-  NotebookPen,
-  Pencil,
-  Plus,
-  Signpost,
-  Sparkles,
-  Trash2,
-} from "lucide-react";
-import type { ActivityEntry, ActivityKind } from "@/types";
-import { formatDateTime, formatRelative } from "@/lib/utils";
-
-/**
- * Der Verlauf eines Projekts: was ist wann passiert.
- *
- * Die erste Seite kommt mit der Seite mit, weitere holt der Knopf nach. Die
- * Alternative – alles gleich mitzuladen – wuerde jeden Seitenaufruf mit
- * zweihundert Eintraegen belasten, von denen man selten mehr als die
- * obersten fuenf liest.
- */
-
-const KINDS: Record<ActivityKind, { icon: typeof Sparkles; color: string }> = {
-  PROJECT_CREATED: { icon: Sparkles, color: "text-violet-300" },
-  PROJECT_UPDATED: { icon: Pencil, color: "text-slate-400" },
-  STATUS_CHANGED: { icon: Signpost, color: "text-cyan-300" },
-  NOTE_ADDED: { icon: NotebookPen, color: "text-blue-300" },
-  NOTE_UPDATED: { icon: Pencil, color: "text-blue-300" },
-  NOTE_DELETED: { icon: Trash2, color: "text-rose-300" },
-  TASK_ADDED: { icon: Plus, color: "text-emerald-300" },
-  TASK_MOVED: { icon: ArrowRight, color: "text-violet-300" },
-  TASK_DELETED: { icon: Trash2, color: "text-rose-300" },
-  TASKS_IMPORTED: { icon: Download, color: "text-amber-300" },
-  REPO_LINKED: { icon: Link2, color: "text-cyan-300" },
-  REPO_COMMITS: { icon: GitCommitHorizontal, color: "text-emerald-300" },
-  SYNC_FAILED: { icon: AlertTriangle, color: "text-rose-300" },
-};
-
-export function ActivityFeed({
-  projectId,
-  initial,
-}: {
-  projectId: string;
-  initial: ActivityEntry[];
-}) {
-  const [entries, setEntries] = useState(initial);
-  const [loading, setLoading] = useState(false);
-  const [error, setError] = useState<string | null>(null);
-  // Kam eine volle Seite, gibt es womoeglich noch mehr.
-  const [complete, setComplete] = useState(initial.length < 20);
-
-  async function loadAll() {
-    setLoading(true);
-    setError(null);
-    try {
-      const response = await fetch(`/api/projects/${projectId}/activity?limit=200`);
-      if (!response.ok) throw new Error("Verlauf konnte nicht geladen werden.");
-      const payload = await response.json();
-      setEntries(payload.activities as ActivityEntry[]);
-      setComplete(true);
-    } catch (caught) {
-      setError(caught instanceof Error ? caught.message : String(caught));
-    } finally {
-      setLoading(false);
-    }
-  }
-
-  return (
-    <section className="glass p-5">
-      <h2 className="flex items-center gap-2 text-sm font-semibold uppercase tracking-wider text-slate-300">
-        <History className="h-4 w-4 text-violet-300" />
-        Verlauf
-      </h2>
-
-      {entries.length === 0 ? (
-        <p className="mt-3 text-sm text-slate-500">
-          Noch nichts passiert. Sobald du etwas änderst, steht es hier.
-        </p>
-      ) : (
-        <ol className="mt-4 space-y-0">
-          {entries.map((entry, index) => {
-            const meta = KINDS[entry.kind] ?? KINDS.PROJECT_UPDATED;
-            const Icon = meta.icon;
-            const letzter = index === entries.length - 1;
-
-            return (
-              <li key={entry.id} className="relative flex gap-3 pb-4">
-                {/* Die Linie endet am letzten Eintrag, statt ins Leere zu laufen. */}
-                {!letzter ? (
-                  <span
-                    aria-hidden
-                    className="absolute left-3 top-7 h-[calc(100%-1.25rem)] w-px bg-white/15"
-                  />
-                ) : null}
-
-                <span className="relative z-10 mt-0.5 flex h-6 w-6 shrink-0 items-center justify-center rounded-full bg-[#0d1020] ring-1 ring-white/10">
-                  <Icon className={`h-3.5 w-3.5 ${meta.color}`} />
-                </span>
-
-                <div className="min-w-0 flex-1">
-                  <p className="text-sm leading-snug text-slate-200">{entry.summary}</p>
-                  <p className="mt-0.5 flex items-center gap-1.5 text-xs text-slate-500">
-                    <time dateTime={new Date(entry.createdAt).toISOString()}>
-                      {formatRelative(entry.createdAt)}
-                    </time>
-                    <span aria-hidden>·</span>
-                    <span>{formatDateTime(entry.createdAt)}</span>
-                    {/* Ohne Benutzer war es der automatische Abgleich. */}
-                    {entry.user ? null : (
-                      <>
-                        <span aria-hidden>·</span>
-                        <Bot className="h-3 w-3" aria-hidden />
-                        <span>automatisch</span>
-                      </>
-                    )}
-                  </p>
-                </div>
-              </li>
-            );
-          })}
-        </ol>
-      )}
-
-      {error ? <p className="mt-2 text-xs text-rose-300">{error}</p> : null}
-
-      {!complete ? (
-        <button
-          type="button"
-          onClick={loadAll}
-          disabled={loading}
-          className="btn btn-ghost mt-1 w-full text-xs"
-        >
-          {loading ? <Loader2 className="h-3.5 w-3.5 animate-spin" /> : null}
-          Älteres anzeigen
-        </button>
-      ) : null}
-    </section>
-  );
-}

src/components/BulkBar.tsx

@@ -1,200 +0,0 @@
-"use client";
-
-import { useRef, useState } from "react";
-import { useRouter } from "next/navigation";
-import { Loader2, Star, Tag, Trash2, X } from "lucide-react";
-import type { ProjectStatus } from "@prisma/client";
-import { Popover } from "@/components/ui/Popover";
-import { STATUS_META, STATUS_ORDER } from "@/lib/status";
-import { cn, parseTags } from "@/lib/utils";
-
-/**
- * Leiste fuer die Mehrfachauswahl. Erscheint erst, wenn etwas ausgewaehlt ist,
- * und liegt fest am unteren Rand – bei einer langen Liste waere sie oben
- * sonst laengst aus dem Blick gescrollt, waehrend man noch auswaehlt.
- */
-export function BulkBar({
-  ids,
-  onDone,
-  onClear,
-}: {
-  ids: string[];
-  onDone: () => void;
-  onClear: () => void;
-}) {
-  const router = useRouter();
-  const [busy, setBusy] = useState(false);
-  const [error, setError] = useState<string | null>(null);
-  const [statusOpen, setStatusOpen] = useState(false);
-  const [tagsOpen, setTagsOpen] = useState(false);
-  const [tagInput, setTagInput] = useState("");
-  const statusRef = useRef<HTMLButtonElement>(null);
-  const tagsRef = useRef<HTMLButtonElement>(null);
-
-  async function apply(body: Record<string, unknown>) {
-    setBusy(true);
-    setError(null);
-    try {
-      const response = await fetch("/api/projects/bulk", {
-        method: "POST",
-        headers: { "Content-Type": "application/json" },
-        body: JSON.stringify({ ids, ...body }),
-      });
-      const payload = await response.json().catch(() => ({}));
-      if (!response.ok) throw new Error(payload.error ?? "Das hat nicht geklappt.");
-      onDone();
-      router.refresh();
-    } catch (caught) {
-      setError(caught instanceof Error ? caught.message : String(caught));
-    } finally {
-      setBusy(false);
-      setStatusOpen(false);
-      setTagsOpen(false);
-    }
-  }
-
-  async function remove() {
-    if (
-      !window.confirm(
-        `${ids.length} Projekt${ids.length === 1 ? "" : "e"} mit allen Notizen und Aufgaben ` +
-          "unwiderruflich loeschen?",
-      )
-    ) {
-      return;
-    }
-    await apply({ action: "delete" });
-  }
-
-  return (
-    <div className="pointer-events-none fixed inset-x-0 bottom-4 z-[90] flex justify-center px-4">
-      <div className="popover pointer-events-auto flex flex-wrap items-center gap-2 px-3 py-2 shadow-2xl">
-        <span className="px-1 text-sm tabular-nums text-slate-200">
-          {ids.length} ausgewählt
-        </span>
-
-        <span className="h-5 w-px bg-white/10" aria-hidden />
-
-        <button
-          ref={statusRef}
-          type="button"
-          className="btn btn-ghost px-2.5 py-1.5 text-xs"
-          onClick={() => setStatusOpen((value) => !value)}
-          disabled={busy}
-          aria-haspopup="menu"
-          aria-expanded={statusOpen}
-        >
-          Status
-        </button>
-        <Popover
-          open={statusOpen}
-          anchorRef={statusRef}
-          onClose={() => setStatusOpen(false)}
-          align="start"
-        >
-          <div role="menu" className="min-w-[12rem] p-1">
-            {STATUS_ORDER.map((status) => (
-              <button
-                key={status}
-                type="button"
-                role="menuitem"
-                className="flex w-full items-center gap-2 rounded-lg px-2.5 py-2 text-left text-sm text-slate-300 hover:bg-white/6"
-                onClick={() => apply({ action: "status", status })}
-              >
-                <span
-                  className="h-2 w-2 rounded-full"
-                  style={{ backgroundColor: STATUS_META[status].color }}
-                />
-                {STATUS_META[status].label}
-              </button>
-            ))}
-          </div>
-        </Popover>
-
-        <button
-          ref={tagsRef}
-          type="button"
-          className="btn btn-ghost px-2.5 py-1.5 text-xs"
-          onClick={() => setTagsOpen((value) => !value)}
-          disabled={busy}
-          aria-haspopup="menu"
-          aria-expanded={tagsOpen}
-        >
-          <Tag className="h-3.5 w-3.5" />
-          Tags
-        </button>
-        <Popover open={tagsOpen} anchorRef={tagsRef} onClose={() => setTagsOpen(false)} align="start">
-          <div className="w-64 space-y-2 p-3">
-            <label className="field-label" htmlFor="bulk-tags">
-              Tags (kommagetrennt)
-            </label>
-            <input
-              id="bulk-tags"
-              className="field"
-              value={tagInput}
-              onChange={(event) => setTagInput(event.target.value)}
-              placeholder="experiment, archiv"
-              autoFocus
-            />
-            <div className="flex gap-2">
-              <button
-                type="button"
-                className="btn btn-primary flex-1 px-2 py-1.5 text-xs"
-                disabled={busy || parseTags(tagInput).length === 0}
-                onClick={() =>
-                  apply({ action: "tags", tags: parseTags(tagInput), tagMode: "add" })
-                }
-              >
-                Hinzufügen
-              </button>
-              <button
-                type="button"
-                className="btn btn-ghost flex-1 px-2 py-1.5 text-xs"
-                disabled={busy || parseTags(tagInput).length === 0}
-                onClick={() =>
-                  apply({ action: "tags", tags: parseTags(tagInput), tagMode: "remove" })
-                }
-              >
-                Entfernen
-              </button>
-            </div>
-          </div>
-        </Popover>
-
-        <button
-          type="button"
-          className="btn btn-ghost px-2.5 py-1.5 text-xs"
-          onClick={() => apply({ action: "favorite", favorite: true })}
-          disabled={busy}
-          title="Als Favoriten markieren"
-        >
-          <Star className="h-3.5 w-3.5" />
-        </button>
-
-        <button
-          type="button"
-          className="btn btn-ghost px-2.5 py-1.5 text-xs text-rose-200"
-          onClick={remove}
-          disabled={busy}
-        >
-          <Trash2 className="h-3.5 w-3.5" />
-          Löschen
-        </button>
-
-        {busy ? <Loader2 className="h-4 w-4 animate-spin text-slate-400" /> : null}
-
-        <button
-          type="button"
-          onClick={onClear}
-          className="rounded-lg p-1.5 text-slate-500 hover:text-white"
-          aria-label="Auswahl aufheben"
-        >
-          <X className="h-4 w-4" />
-        </button>
-
-        {error ? (
-          <p className={cn("w-full px-1 text-xs text-rose-300")}>{error}</p>
-        ) : null}
-      </div>
-    </div>
-  );
-}

src/components/ChangelogButton.tsx

@@ -1,84 +0,0 @@
-"use client";
-
-import { useState } from "react";
-import { Modal } from "@/components/ui/Modal";
-import { CHANGELOG, KIND_META } from "@/lib/changelog";
-import { cn, formatDate } from "@/lib/utils";
-
-/**
- * Die Versionsnummer in der Fusszeile oeffnet den Aenderungsverlauf.
- *
- * Kein eigener Menuepunkt: gesucht wird so etwas erfahrungsgemaess dort, wo
- * die Version steht – und einen Platz in der Navigation ist es nicht wert.
- */
-export function ChangelogButton({ version }: { version: string }) {
-  const [open, setOpen] = useState(false);
-  const aktuell = CHANGELOG[0]?.version;
-
-  return (
-    <>
-      <button
-        type="button"
-        onClick={() => setOpen(true)}
-        className="rounded font-mono text-slate-600 underline decoration-dotted underline-offset-4 transition-colors hover:text-violet-300 focus-visible:outline-none focus-visible:ring-2 focus-visible:ring-violet-400/60"
-        title="Was ist neu?"
-      >
-        v{version}
-      </button>
-
-      <Modal
-        open={open}
-        onClose={() => setOpen(false)}
-        width="lg"
-        title="Änderungsverlauf"
-        description={
-          // Ein Hinweis, falls die laufende Fassung neuer ist als der Eintrag.
-          // Das passiert, wenn jemand die Version hochzaehlt und den Eintrag
-          // vergisst – dann soll es auffallen statt still danebenzustehen.
-          aktuell === version
-            ? "Was in den letzten Fassungen dazugekommen ist."
-            : `Diese Instanz läuft auf v${version}; der Verlauf endet bei v${aktuell}.`
-        }
-      >
-        <ol className="space-y-7">
-          {CHANGELOG.map((release) => (
-            <li key={release.version}>
-              <div className="flex flex-wrap items-baseline gap-x-3 gap-y-1">
-                <h3 className="font-mono text-base font-semibold text-white">
-                  v{release.version}
-                </h3>
-                {release.version === version ? (
-                  <span className="rounded-full bg-violet-500/15 px-2 py-0.5 text-[10px] uppercase tracking-wider text-violet-200 ring-1 ring-violet-400/30">
-                    installiert
-                  </span>
-                ) : null}
-                <span className="text-xs text-slate-500">{formatDate(release.date)}</span>
-              </div>
-
-              <p className="mt-1 text-sm text-slate-400">{release.headline}</p>
-
-              <ul className="mt-3 space-y-2">
-                {release.changes.map((change, index) => {
-                  const meta = KIND_META[change.kind];
-                  return (
-                    <li key={index} className="flex gap-2.5 text-sm leading-snug text-slate-300">
-                      <span
-                        className={cn(
-                          "mt-0.5 h-fit shrink-0 rounded-md px-1.5 py-0.5 text-[10px] font-medium uppercase tracking-wider ring-1",
-                          meta.className,
-                        )}
-                      >
-                        {meta.label}
-                      </span>
-                      <span className="min-w-0">{change.text}</span>
-                    </li>
-                  );
-                })}
-              </ul>
-            </li>
-          ))}
-        </ol>
-      </Modal>
-    </>
-  );
-}

src/components/CiBadge.tsx

@@ -1,90 +0,0 @@
-import { CircleCheck, CircleDashed, CircleSlash, CircleX, LoaderCircle } from "lucide-react";
-import { cn } from "@/lib/utils";
-
-export type CiState = "success" | "failure" | "running" | "pending" | "cancelled";
-
-const META: Record<
-  CiState,
-  { label: string; short: string; className: string; icon: typeof CircleCheck; spin?: boolean }
-> = {
-  success: {
-    label: "CI erfolgreich",
-    short: "CI ok",
-    className: "bg-emerald-500/12 text-emerald-200 ring-emerald-400/30",
-    icon: CircleCheck,
-  },
-  failure: {
-    label: "CI fehlgeschlagen",
-    short: "CI rot",
-    className: "bg-rose-500/12 text-rose-200 ring-rose-400/30",
-    icon: CircleX,
-  },
-  running: {
-    label: "CI laeuft",
-    short: "CI laeuft",
-    className: "bg-amber-500/12 text-amber-200 ring-amber-400/30",
-    icon: LoaderCircle,
-    spin: true,
-  },
-  pending: {
-    label: "CI wartet",
-    short: "CI wartet",
-    className: "bg-slate-500/12 text-slate-300 ring-slate-400/25",
-    icon: CircleDashed,
-  },
-  cancelled: {
-    label: "CI abgebrochen",
-    short: "CI abgebrochen",
-    className: "bg-slate-500/12 text-slate-400 ring-slate-400/20",
-    icon: CircleSlash,
-  },
-};
-
-export function CiBadge({
-  state,
-  name,
-  url,
-  compact = false,
-}: {
-  state: string | null | undefined;
-  name?: string | null;
-  url?: string | null;
-  compact?: boolean;
-}) {
-  if (!state || !(state in META)) return null;
-  const meta = META[state as CiState];
-  const Icon = meta.icon;
-
-  const content = (
-    <>
-      <Icon className={cn("h-3 w-3 shrink-0", meta.spin && "animate-spin")} />
-      {compact ? meta.short : (name ?? meta.label)}
-    </>
-  );
-
-  const className = cn(
-    "inline-flex items-center gap-1.5 rounded-full ring-1 ring-inset",
-    meta.className,
-    compact ? "px-2 py-0.5 text-[10px]" : "px-2.5 py-1 text-[11px]",
-  );
-
-  if (url && !compact) {
-    return (
-      <a
-        href={url}
-        target="_blank"
-        rel="noreferrer noopener"
-        className={cn(className, "transition-all hover:brightness-125")}
-        title={meta.label}
-      >
-        {content}
-      </a>
-    );
-  }
-
-  return (
-    <span className={className} title={name ? `${meta.label} · ${name}` : meta.label}>
-      {content}
-    </span>
-  );
-}

src/components/CommandPalette.tsx

@@ -1,380 +0,0 @@
-"use client";
-
-import { useCallback, useEffect, useMemo, useRef, useState } from "react";
-import { createPortal } from "react-dom";
-import { useRouter } from "next/navigation";
-import {
-  Bell,
-  CornerDownLeft,
-  GitBranch,
-  LayoutDashboard,
-  Loader2,
-  NotebookPen,
-  Plus,
-  Search,
-  Settings,
-  UserRound,
-} from "lucide-react";
-import type { ProjectStatus } from "@prisma/client";
-import { statusOf } from "@/lib/status";
-import { cn } from "@/lib/utils";
-
-/**
- * Schnellsuche, zu erreichen mit Strg+K beziehungsweise Cmd+K.
- *
- * Springt zu einem Projekt, zu einer Notiz oder direkt in einen Bereich.
- * Die Projektliste wird beim ersten Oeffnen geholt und dann behalten – sie
- * bei jedem Tastendruck neu zu laden waere Verschwendung, und veraltet ist
- * sie hoechstens um die Dauer einer Sitzung.
- */
-
-interface ProjectHit {
-  id: string;
-  name: string;
-  slug: string;
-  summary: string | null;
-  status: ProjectStatus;
-  tags: string[];
-}
-
-interface NoteHit {
-  projectId: string;
-  noteId: string;
-  title: string | null;
-  snippet: string;
-}
-
-interface Action {
-  id: string;
-  label: string;
-  hint: string;
-  icon: typeof LayoutDashboard;
-  href: string;
-  adminOnly?: boolean;
-}
-
-const ACTIONS: Action[] = [
-  { id: "dashboard", label: "Dashboard", hint: "Alle Projekte", icon: LayoutDashboard, href: "/" },
-  {
-    id: "connections",
-    label: "Git-Verbindungen",
-    hint: "GitHub, GitLab, Gitea",
-    icon: GitBranch,
-    href: "/connections",
-  },
-  { id: "account", label: "Mein Konto", hint: "Profil, Passkeys", icon: UserRound, href: "/account" },
-  {
-    id: "notify",
-    label: "Benachrichtigungen",
-    hint: "Ziele verwalten",
-    icon: Bell,
-    href: "/account",
-  },
-  {
-    id: "admin",
-    label: "Admin-Einstellungen",
-    hint: "Betriebsart, Abgleich, Konten",
-    icon: Settings,
-    href: "/admin",
-    adminOnly: true,
-  },
-];
-
-type Entry =
-  | { kind: "action"; key: string; action: Action }
-  | { kind: "project"; key: string; project: ProjectHit }
-  | { kind: "note"; key: string; note: NoteHit; projectName: string };
-
-export function CommandPalette({ isAdmin }: { isAdmin: boolean }) {
-  const router = useRouter();
-  const [mounted, setMounted] = useState(false);
-  const [open, setOpen] = useState(false);
-  const [query, setQuery] = useState("");
-  const [projects, setProjects] = useState<ProjectHit[] | null>(null);
-  const [notes, setNotes] = useState<NoteHit[]>([]);
-  const [active, setActive] = useState(0);
-  const [loading, setLoading] = useState(false);
-  const listRef = useRef<HTMLDivElement>(null);
-
-  useEffect(() => setMounted(true), []);
-
-  // Strg+K oeffnet, Escape schliesst. In Eingabefeldern nicht stoeren –
-  // ausser beim Kuerzel selbst, das soll ueberall greifen.
-  useEffect(() => {
-    function onKey(event: KeyboardEvent) {
-      if ((event.ctrlKey || event.metaKey) && event.key.toLowerCase() === "k") {
-        event.preventDefault();
-        setOpen((value) => !value);
-      } else if (event.key === "Escape") {
-        setOpen(false);
-      }
-    }
-    document.addEventListener("keydown", onKey);
-    return () => document.removeEventListener("keydown", onKey);
-  }, []);
-
-  // Projektliste beim ersten Oeffnen holen.
-  useEffect(() => {
-    if (!open || projects !== null) return;
-    setLoading(true);
-    fetch("/api/projects")
-      .then((response) => (response.ok ? response.json() : { projects: [] }))
-      .then((body) => setProjects(body.projects ?? []))
-      .catch(() => setProjects([]))
-      .finally(() => setLoading(false));
-  }, [open, projects]);
-
-  // Notizen sucht der Server – entprellt, wie im Board.
-  useEffect(() => {
-    if (!open) return;
-    const needle = query.trim();
-    if (needle.length < 2) {
-      setNotes([]);
-      return;
-    }
-    const controller = new AbortController();
-    const timer = setTimeout(async () => {
-      try {
-        const response = await fetch(`/api/search?q=${encodeURIComponent(needle)}`, {
-          signal: controller.signal,
-        });
-        if (!response.ok) return;
-        const body = (await response.json()) as { hits: NoteHit[] };
-        setNotes(body.hits ?? []);
-      } catch {
-        // Abbruch beim Weitertippen ist der Normalfall.
-      }
-    }, 250);
-    return () => {
-      clearTimeout(timer);
-      controller.abort();
-    };
-  }, [open, query]);
-
-  useEffect(() => {
-    if (!open) {
-      setQuery("");
-      setNotes([]);
-      setActive(0);
-    }
-  }, [open]);
-
-  const entries = useMemo<Entry[]>(() => {
-    const needle = query.toLowerCase().trim();
-    const result: Entry[] = [];
-
-    const passendeAktionen = ACTIONS.filter(
-      (action) =>
-        (!action.adminOnly || isAdmin) &&
-        (!needle ||
-          action.label.toLowerCase().includes(needle) ||
-          action.hint.toLowerCase().includes(needle)),
-    );
-
-    const passendeProjekte = (projects ?? []).filter(
-      (project) =>
-        !needle ||
-        project.name.toLowerCase().includes(needle) ||
-        (project.summary ?? "").toLowerCase().includes(needle) ||
-        project.tags.some((tag) => tag.includes(needle)),
-    );
-
-    // Bei leerer Eingabe stehen die Projekte oben – danach sucht man
-    // normalerweise.
-    if (!needle) {
-      for (const project of passendeProjekte.slice(0, 6)) {
-        result.push({ kind: "project", key: `p-${project.id}`, project });
-      }
-      for (const action of passendeAktionen) {
-        result.push({ kind: "action", key: `a-${action.id}`, action });
-      }
-      return result;
-    }
-
-    for (const project of passendeProjekte.slice(0, 8)) {
-      result.push({ kind: "project", key: `p-${project.id}`, project });
-    }
-    for (const hit of notes.slice(0, 5)) {
-      result.push({
-        kind: "note",
-        key: `n-${hit.noteId}`,
-        note: hit,
-        projectName:
-          (projects ?? []).find((project) => project.id === hit.projectId)?.name ?? "Projekt",
-      });
-    }
-    for (const action of passendeAktionen) {
-      result.push({ kind: "action", key: `a-${action.id}`, action });
-    }
-    return result;
-  }, [query, projects, notes, isAdmin]);
-
-  useEffect(() => {
-    setActive((current) => Math.min(current, Math.max(0, entries.length - 1)));
-  }, [entries.length]);
-
-  const go = useCallback(
-    (entry: Entry) => {
-      setOpen(false);
-      if (entry.kind === "action") router.push(entry.action.href);
-      else if (entry.kind === "project") router.push(`/projects/${entry.project.id}`);
-      else router.push(`/projects/${entry.note.projectId}`);
-    },
-    [router],
-  );
-
-  function onInputKey(event: React.KeyboardEvent) {
-    if (event.key === "ArrowDown") {
-      event.preventDefault();
-      setActive((current) => (current + 1) % Math.max(1, entries.length));
-    } else if (event.key === "ArrowUp") {
-      event.preventDefault();
-      setActive((current) => (current - 1 + entries.length) % Math.max(1, entries.length));
-    } else if (event.key === "Enter") {
-      event.preventDefault();
-      const entry = entries[active];
-      if (entry) go(entry);
-    }
-  }
-
-  // Ausgewaehlten Eintrag im Blick behalten.
-  useEffect(() => {
-    listRef.current
-      ?.querySelector<HTMLElement>(`[data-index="${active}"]`)
-      ?.scrollIntoView({ block: "nearest" });
-  }, [active]);
-
-  if (!mounted || !open) return null;
-
-  return createPortal(
-    <div className="fixed inset-0 z-[130] flex items-start justify-center p-4 pt-[12vh]">
-      <button
-        type="button"
-        aria-label="Schnellsuche schliessen"
-        onClick={() => setOpen(false)}
-        className="fixed inset-0 cursor-default bg-[#03040c]/80 backdrop-blur-sm"
-      />
-
-      <div
-        role="dialog"
-        aria-modal="true"
-        aria-label="Schnellsuche"
-        className="popover fade-up relative z-10 w-full max-w-xl overflow-hidden rounded-2xl"
-      >
-        <div className="flex items-center gap-3 border-b border-white/8 px-4 py-3">
-          <Search className="h-4 w-4 shrink-0 text-slate-500" />
-          <input
-            autoFocus
-            value={query}
-            onChange={(event) => setQuery(event.target.value)}
-            onKeyDown={onInputKey}
-            placeholder="Projekt, Notiz oder Bereich…"
-            className="w-full bg-transparent text-sm text-slate-100 outline-none placeholder:text-slate-600"
-          />
-          {loading ? <Loader2 className="h-3.5 w-3.5 animate-spin text-slate-600" /> : null}
-        </div>
-
-        <div ref={listRef} className="max-h-[22rem] overflow-y-auto p-1.5">
-          {entries.length === 0 ? (
-            <p className="px-3 py-8 text-center text-sm text-slate-500">
-              {loading ? "Lade…" : "Nichts gefunden."}
-            </p>
-          ) : (
-            entries.map((entry, index) => (
-              <button
-                key={entry.key}
-                type="button"
-                data-index={index}
-                onMouseMove={() => setActive(index)}
-                onClick={() => go(entry)}
-                className={cn(
-                  "flex w-full items-start gap-3 rounded-lg px-3 py-2 text-left transition-colors",
-                  index === active ? "bg-white/8" : "hover:bg-white/5",
-                )}
-              >
-                {entry.kind === "action" ? (
-                  <>
-                    <entry.action.icon className="mt-0.5 h-4 w-4 shrink-0 text-slate-500" />
-                    <span className="min-w-0">
-                      <span className="block truncate text-sm text-slate-200">
-                        {entry.action.label}
-                      </span>
-                      <span className="block truncate text-[11px] text-slate-500">
-                        {entry.action.hint}
-                      </span>
-                    </span>
-                  </>
-                ) : entry.kind === "project" ? (
-                  <>
-                    <span
-                      className="mt-1.5 h-2 w-2 shrink-0 rounded-full"
-                      style={{ backgroundColor: statusOf(entry.project.status).color }}
-                    />
-                    <span className="min-w-0 flex-1">
-                      <span className="block truncate text-sm text-slate-200">
-                        {entry.project.name}
-                      </span>
-                      <span className="block truncate text-[11px] text-slate-500">
-                        {entry.project.summary ?? statusOf(entry.project.status).label}
-                      </span>
-                    </span>
-                    <span className="mt-0.5 shrink-0 text-[10px] uppercase tracking-wider text-slate-600">
-                      {statusOf(entry.project.status).short}
-                    </span>
-                  </>
-                ) : (
-                  <>
-                    <NotebookPen className="mt-0.5 h-4 w-4 shrink-0 text-violet-300/70" />
-                    <span className="min-w-0">
-                      <span className="block truncate text-sm text-slate-200">
-                        {entry.note.title ?? "Notiz"}
-                        <span className="ml-1.5 text-[11px] text-slate-500">
-                          in {entry.projectName}
-                        </span>
-                      </span>
-                      <span className="block truncate text-[11px] text-slate-500">
-                        {entry.note.snippet.replace(/\[\[|\]\]/g, "")}
-                      </span>
-                    </span>
-                  </>
-                )}
-              </button>
-            ))
-          )}
-        </div>
-
-        <div className="flex items-center gap-4 border-t border-white/6 px-4 py-2 text-[10px] text-slate-600">
-          <span className="inline-flex items-center gap-1">
-            <Kbd>↑</Kbd>
-            <Kbd>↓</Kbd>
-            waehlen
-          </span>
-          <span className="inline-flex items-center gap-1">
-            <Kbd>
-              <CornerDownLeft className="h-2.5 w-2.5" />
-            </Kbd>
-            oeffnen
-          </span>
-          <span className="inline-flex items-center gap-1">
-            <Kbd>Esc</Kbd>
-            schliessen
-          </span>
-          <span className="ml-auto inline-flex items-center gap-1">
-            <Plus className="h-2.5 w-2.5" />
-            <Kbd>Strg</Kbd>
-            <Kbd>K</Kbd>
-          </span>
-        </div>
-      </div>
-    </div>,
-    document.body,
-  );
-}
-
-function Kbd({ children }: { children: React.ReactNode }) {
-  return (
-    <kbd className="inline-flex min-w-[1.2rem] items-center justify-center rounded border border-white/12 bg-white/5 px-1 py-0.5 font-sans text-[10px] text-slate-400">
-      {children}
-    </kbd>
-  );
-}

src/components/ConnectionsManager.tsx

@@ -140,8 +140,8 @@ export function ConnectionsManager({ connections }: { connections: ConnectionWit
   }
 
   async function remove(connection: ConnectionWithCount) {
-    const linked = connection._count?.repositories ?? 0;
-    const hint = linked > 0 ? `\n\n${linked} Repository(s) verlieren die Verknuepfung.` : "";
+    const linked = connection._count?.projects ?? 0;
+    const hint = linked > 0 ? `\n\n${linked} Projekt(e) verlieren die Verknuepfung.` : "";
     if (!window.confirm(`Verbindung „${connection.name}“ loeschen?${hint}`)) return;
     setBusyId(connection.id);
     await fetch(`/api/connections/${connection.id}`, { method: "DELETE" }).catch(() => undefined);
@@ -257,9 +257,9 @@ export function ConnectionsManager({ connections }: { connections: ConnectionWit
                     </div>
                   ) : null}
                   <div className="flex items-start justify-between gap-3">
-                    <dt className="text-slate-500">Repositories</dt>
+                    <dt className="text-slate-500">Projekte</dt>
                     <dd className="tabular-nums text-slate-300">
-                      {connection._count?.repositories ?? 0}
+                      {connection._count?.projects ?? 0}
                     </dd>
                   </div>
                   {connection.lastCheckedAt ? (

src/components/GitPanel.tsx

@@ -3,47 +3,32 @@
 import { useState } from "react";
 import { useRouter } from "next/navigation";
 import {
-  Activity,
   AlertTriangle,
-  CircleDot,
   ExternalLink,
   GitBranch,
   GitCommitHorizontal,
   GitMerge,
   GitPullRequest,
   HardDrive,
-  ListPlus,
   Loader2,
   Lock,
   Package,
-  Plus,
   RefreshCw,
   ShieldCheck,
   Star,
   Tag,
-  Unlink,
 } from "lucide-react";
-import { CiBadge } from "@/components/CiBadge";
-import { Heatmap } from "@/components/Heatmap";
-import { RepositoryDialog } from "@/components/RepositoryDialog";
-import { Sparkline } from "@/components/Sparkline";
-import { repoTitle } from "@/lib/git/meta";
-import { asArray, asCalendar, asRecord } from "@/types";
+import { asArray, asRecord } from "@/types";
 import type {
   BranchInfo,
   CommitInfo,
-  ConnectionSafe,
   ProjectDetail,
   ReleaseInfo,
-  RepositoryWithSnapshot,
   TagInfo,
-  TicketInfo,
 } from "@/types";
 import { cn, formatDateTime, formatNumber, formatRelative } from "@/lib/utils";
 
 const TABS = [
-  { key: "pulls", label: "PRs", icon: GitPullRequest },
-  { key: "issues", label: "Issues", icon: CircleDot },
   { key: "branches", label: "Branches", icon: GitBranch },
   { key: "tags", label: "Tags", icon: Tag },
   { key: "commits", label: "Commits", icon: GitCommitHorizontal },
@@ -52,75 +37,26 @@ const TABS = [
 
 type TabKey = (typeof TABS)[number]["key"];
 
-export function GitPanel({
-  project,
-  connections,
-}: {
-  project: ProjectDetail;
-  connections: ConnectionSafe[];
-}) {
+export function GitPanel({ project }: { project: ProjectDetail }) {
   const router = useRouter();
-  const [tab, setTab] = useState<TabKey>("pulls");
+  const [tab, setTab] = useState<TabKey>("branches");
   const [syncing, setSyncing] = useState(false);
-  const [importing, setImporting] = useState(false);
   const [message, setMessage] = useState<{ ok: boolean; text: string } | null>(null);
-  const [addOpen, setAddOpen] = useState(false);
 
-  const repositories = project.repositories;
-  const [selectedId, setSelectedId] = useState<string | null>(repositories[0]?.id ?? null);
-
-  // Nach dem Entfernen zeigt die Auswahl ins Leere – dann auf das fuehrende
-  // zurueckfallen, statt eine leere Ansicht zu zeigen.
-  const repository = repositories.find((entry) => entry.id === selectedId) ?? repositories[0] ?? null;
-
-  /** Offene Issues als Aufgaben anlegen – ohne erneuten Abruf beim Provider. */
-  async function importIssues() {
-    if (!repository) return;
-    setImporting(true);
-    setMessage(null);
-    try {
-      const response = await fetch(`/api/projects/${project.id}/tasks/from-issues`, {
-        method: "POST",
-        headers: { "Content-Type": "application/json" },
-        body: JSON.stringify({ repositoryId: repository.id }),
-      });
-      const body = await response.json().catch(() => ({}));
-      if (!response.ok) throw new Error(body.error ?? "Uebernahme fehlgeschlagen.");
-      setMessage({
-        ok: true,
-        text:
-          body.created === 0
-            ? `Nichts Neues – alle ${body.skipped} Issues sind bereits als Aufgabe vorhanden.`
-            : `${body.created} Aufgabe(n) angelegt${body.skipped ? `, ${body.skipped} uebersprungen` : ""}.`,
-      });
-      router.refresh();
-    } catch (caught) {
-      setMessage({ ok: false, text: caught instanceof Error ? caught.message : String(caught) });
-    } finally {
-      setImporting(false);
-    }
-  }
-
-  const snapshot = repository?.snapshot ?? null;
+  const snapshot = project.snapshot;
   const branches = asArray<BranchInfo>(snapshot?.branches);
   const tags = asArray<TagInfo>(snapshot?.tags);
   const commits = asArray<CommitInfo>(snapshot?.commits);
   const releases = asArray<ReleaseInfo>(snapshot?.releases);
   const languages = asRecord(snapshot?.languages);
-  const pulls = asArray<TicketInfo>(snapshot?.pullRequests);
-  const issues = asArray<TicketInfo>(snapshot?.issues);
-  const activity = asArray<number>(snapshot?.commitActivity);
-  const calendar = asCalendar(snapshot?.commitCalendar);
 
-  /** Ein einzelnes Repository oder – ohne Argument – alle. */
-  async function sync(nurDieses?: string) {
+  const hasRepo = Boolean(project.repoOwner && project.repoName) || Boolean(project.repoUrl);
+
+  async function sync() {
     setSyncing(true);
     setMessage(null);
     try {
-      const url = nurDieses
-        ? `/api/repositories/${nurDieses}/sync`
-        : `/api/projects/${project.id}/sync`;
-      const response = await fetch(url, { method: "POST" });
+      const response = await fetch(`/api/projects/${project.id}/sync`, { method: "POST" });
       const payload = await response.json().catch(() => ({}));
       setMessage({ ok: response.ok, text: payload.message ?? "Unbekannte Antwort." });
       router.refresh();
@@ -134,41 +70,16 @@ export function GitPanel({
     }
   }
 
-  async function removeRepository(entry: RepositoryWithSnapshot) {
-    if (
-      !window.confirm(
-        `„${repoTitle(entry)}“ vom Projekt loesen? Der geholte Stand geht dabei verloren.`,
-      )
-    ) {
-      return;
-    }
-    await fetch(`/api/repositories/${entry.id}`, { method: "DELETE" }).catch(() => undefined);
-    setSelectedId(null);
-    router.refresh();
-  }
-
-  if (!repository) {
+  if (!hasRepo) {
     return (
-      <>
       <div className="glass px-5 py-10 text-center">
         <GitBranch className="mx-auto h-8 w-8 text-slate-600" />
         <h3 className="mt-3 text-sm font-semibold text-slate-200">Kein Repository verknuepft</h3>
         <p className="mx-auto mt-1 max-w-sm text-sm text-slate-500">
-            Verknuepfe ein Repository, um Branches, Tags, Commits und Releases hier zu sehen.
-            Ein Projekt darf auch mehrere haben – etwa Frontend und Backend.
+          Hinterlege im Projekt eine Repository-URL und waehle eine Git-Verbindung, um
+          Branches, Tags, Commits und Releases hier zu sehen.
         </p>
-          <button type="button" className="btn btn-primary mt-4" onClick={() => setAddOpen(true)}>
-            <Plus className="h-4 w-4" />
-            Repository verknuepfen
-          </button>
       </div>
-        <RepositoryDialog
-          open={addOpen}
-          onClose={() => setAddOpen(false)}
-          projectId={project.id}
-          connections={connections}
-        />
-      </>
     );
   }
 
@@ -179,53 +90,12 @@ export function GitPanel({
 
   return (
     <div className="space-y-4">
-      {/* Auswahl, sobald es mehr als eines gibt. Bei einem einzigen waere eine
-          Leiste mit genau einem Knopf nur Ballast. */}
-      {repositories.length > 1 ? (
-        <div className="glass flex flex-wrap items-center gap-1.5 p-2" role="tablist">
-          {repositories.map((entry) => {
-            const aktiv = entry.id === repository.id;
-            return (
-              <button
-                key={entry.id}
-                type="button"
-                role="tab"
-                aria-selected={aktiv}
-                onClick={() => setSelectedId(entry.id)}
-                className={cn(
-                  "flex items-center gap-2 rounded-lg px-3 py-1.5 text-xs transition-colors",
-                  aktiv
-                    ? "bg-white/9 text-white"
-                    : "text-slate-400 hover:bg-white/5 hover:text-slate-200",
-                )}
-              >
-                {entry.syncError ? (
-                  <AlertTriangle className="h-3 w-3 text-rose-300" />
-                ) : (
-                  <GitBranch className="h-3 w-3 text-slate-500" />
-                )}
-                {repoTitle(entry)}
-              </button>
-            );
-          })}
-          <button
-            type="button"
-            onClick={() => setAddOpen(true)}
-            className="ml-auto rounded-lg p-1.5 text-slate-500 transition-colors hover:bg-white/5 hover:text-violet-300"
-            aria-label="Weiteres Repository verknuepfen"
-            title="Weiteres Repository verknuepfen"
-          >
-            <Plus className="h-3.5 w-3.5" />
-          </button>
-        </div>
-      ) : null}
-
       {/* Kopf mit Sync */}
       <div className="glass flex flex-wrap items-center justify-between gap-3 p-4">
         <div className="min-w-0">
           <div className="flex items-center gap-2">
             <h2 className="truncate font-mono text-sm text-slate-100">
-              {snapshot?.fullName ?? repoTitle(repository)}
+              {snapshot?.fullName ?? `${project.repoOwner}/${project.repoName}`}
             </h2>
             {snapshot?.visibility ? (
               <span className="inline-flex items-center gap-1 rounded-md bg-white/6 px-1.5 py-0.5 text-[10px] uppercase tracking-wider text-slate-400">
@@ -248,53 +118,15 @@ export function GitPanel({
                 <ExternalLink className="h-3.5 w-3.5" />
               </a>
             ) : null}
-            <CiBadge state={snapshot?.ciState} name={snapshot?.ciName} url={snapshot?.ciUrl} />
           </div>
           <p className="mt-1 text-xs text-slate-500" suppressHydrationWarning>
-            {repository.lastSyncedAt
-              ? `Zuletzt synchronisiert ${formatRelative(repository.lastSyncedAt)} · ${formatDateTime(repository.lastSyncedAt)}`
+            {project.lastSyncedAt
+              ? `Zuletzt synchronisiert ${formatRelative(project.lastSyncedAt)} · ${formatDateTime(project.lastSyncedAt)}`
               : "Noch nie synchronisiert."}
           </p>
         </div>
 
-        <div className="flex flex-wrap items-center gap-2">
-          {repositories.length > 1 ? (
-            <button
-              type="button"
-              className="btn btn-ghost"
-              onClick={() => sync()}
-              disabled={syncing}
-              title="Alle Repositories dieses Projekts abgleichen"
-            >
-              <RefreshCw className="h-4 w-4" />
-              Alle
-            </button>
-          ) : (
-            <button
-              type="button"
-              onClick={() => setAddOpen(true)}
-              className="btn btn-ghost"
-              title="Weiteres Repository verknuepfen"
-            >
-              <Plus className="h-4 w-4" />
-              Repository
-            </button>
-          )}
-          <button
-            type="button"
-            onClick={() => removeRepository(repository)}
-            className="rounded-lg p-2 text-slate-500 transition-colors hover:bg-rose-500/10 hover:text-rose-300"
-            aria-label={`${repoTitle(repository)} vom Projekt loesen`}
-            title="Vom Projekt loesen"
-          >
-            <Unlink className="h-4 w-4" />
-          </button>
-          <button
-            type="button"
-            className="btn btn-primary"
-            onClick={() => sync(repository.id)}
-            disabled={syncing}
-          >
+        <button type="button" className="btn btn-primary" onClick={sync} disabled={syncing}>
           {syncing ? (
             <Loader2 className="h-4 w-4 animate-spin" />
           ) : (
@@ -303,14 +135,6 @@ export function GitPanel({
           Jetzt synchronisieren
         </button>
       </div>
-      </div>
-
-      <RepositoryDialog
-        open={addOpen}
-        onClose={() => setAddOpen(false)}
-        projectId={project.id}
-        connections={connections}
-      />
 
       {message ? (
         <p
@@ -325,10 +149,10 @@ export function GitPanel({
         </p>
       ) : null}
 
-      {repository.syncError && !message ? (
+      {project.syncError && !message ? (
         <p className="flex items-start gap-2 rounded-xl border border-rose-500/30 bg-rose-500/10 px-3 py-2 text-sm text-rose-200">
           <AlertTriangle className="mt-0.5 h-4 w-4 shrink-0" />
-          <span>{repository.syncError}</span>
+          <span>{project.syncError}</span>
         </p>
       ) : null}
 
@@ -400,27 +224,6 @@ export function GitPanel({
             </div>
           </div>
 
-          {/* Commit-Aktivitaet */}
-          {activity.some((value) => value > 0) ? (
-            <div className="glass p-4">
-              <div className="mb-2.5 flex items-center justify-between">
-                <p className="flex items-center gap-1.5 text-[11px] font-semibold uppercase tracking-[0.14em] text-slate-500">
-                  <Activity className="h-3 w-3" />
-                  {/* Der Zeitraum richtet sich danach, wie weit die geholten
-                      Commits zurueckreichen – hoechstens 30 Tage. */}
-                  Commits der letzten {activity.length} Tage
-                </p>
-                <span className="text-xs tabular-nums text-slate-400">
-                  {activity.reduce((sum, value) => sum + value, 0)}
-                </span>
-              </div>
-              <Sparkline values={activity} height={40} />
-            </div>
-          ) : null}
-
-          {/* Der Jahresueberblick, sobald er einmal geholt wurde. */}
-          {calendar ? <Heatmap calendar={calendar} /> : null}
-
           {/* Sprachen */}
           {languageTotal > 0 ? (
             <div className="glass p-4">
@@ -460,14 +263,14 @@ export function GitPanel({
           <div className="glass overflow-hidden">
             <div className="flex flex-wrap gap-1 border-b border-white/6 p-2">
               {TABS.map(({ key, label, icon: Icon }) => {
-                const count = {
-                  pulls: pulls.length,
-                  issues: issues.length,
-                  branches: branches.length,
-                  tags: tags.length,
-                  commits: commits.length,
-                  releases: releases.length,
-                }[key];
+                const count =
+                  key === "branches"
+                    ? branches.length
+                    : key === "tags"
+                      ? tags.length
+                      : key === "commits"
+                        ? commits.length
+                        : releases.length;
                 return (
                   <button
                     key={key}
@@ -489,39 +292,6 @@ export function GitPanel({
             </div>
 
             <div className="max-h-[26rem] overflow-y-auto">
-              {tab === "pulls" ? (
-                <TicketList
-                  tickets={pulls}
-                  empty="Keine offenen Pull oder Merge Requests."
-                  icon={GitPullRequest}
-                />
-              ) : null}
-              {tab === "issues" ? (
-                <>
-                  {issues.length > 0 ? (
-                    <div className="flex flex-wrap items-center justify-between gap-2 border-b border-white/6 bg-white/2 px-4 py-2">
-                      <p className="text-[11px] text-slate-500">
-                        Aus offenen Issues Aufgaben machen. Bereits uebernommene werden
-                        uebersprungen.
-                      </p>
-                      <button
-                        type="button"
-                        className="btn btn-ghost px-2.5 py-1 text-[11px]"
-                        onClick={importIssues}
-                        disabled={importing}
-                      >
-                        {importing ? (
-                          <Loader2 className="h-3 w-3 animate-spin" />
-                        ) : (
-                          <ListPlus className="h-3 w-3" />
-                        )}
-                        Als Aufgaben uebernehmen
-                      </button>
-                    </div>
-                  ) : null}
-                  <TicketList tickets={issues} empty="Keine offenen Issues." icon={CircleDot} />
-                </>
-              ) : null}
               {tab === "branches" ? <BranchList branches={branches} /> : null}
               {tab === "tags" ? <TagList tags={tags} /> : null}
               {tab === "commits" ? <CommitList commits={commits} /> : null}
@@ -572,67 +342,6 @@ function Empty({ text }: { text: string }) {
   return <p className="px-4 py-8 text-center text-xs text-slate-500">{text}</p>;
 }
 
-function TicketList({
-  tickets,
-  empty,
-  icon: Icon,
-}: {
-  tickets: TicketInfo[];
-  empty: string;
-  icon: typeof GitPullRequest;
-}) {
-  if (tickets.length === 0) return <Empty text={empty} />;
-  return (
-    <div>
-      {tickets.map((ticket) => (
-        <Row key={`${ticket.number}-${ticket.title}`}>
-          <div className="flex min-w-0 items-start gap-2">
-            <Icon
-              className={cn(
-                "mt-0.5 h-3.5 w-3.5 shrink-0",
-                ticket.draft ? "text-slate-600" : "text-emerald-400/70",
-              )}
-            />
-            <div className="min-w-0">
-              <p className="truncate text-xs text-slate-200">
-                {ticket.title}
-                {ticket.draft ? (
-                  <span className="ml-1.5 rounded bg-slate-500/15 px-1 py-0.5 text-[10px] text-slate-400">
-                    Entwurf
-                  </span>
-                ) : null}
-              </p>
-              <p className="mt-0.5 flex flex-wrap items-center gap-x-2 text-[11px] text-slate-500">
-                <span className="font-mono text-slate-600">#{ticket.number}</span>
-                <span>{ticket.author ?? "unbekannt"}</span>
-                {ticket.labels.slice(0, 3).map((label) => (
-                  <span key={label} className="rounded bg-white/6 px-1 py-0.5 text-[10px]">
-                    {label}
-                  </span>
-                ))}
-              </p>
-            </div>
-          </div>
-          <div className="flex shrink-0 items-center gap-2 text-[11px] text-slate-500">
-            <span suppressHydrationWarning>{formatRelative(ticket.createdAt)}</span>
-            {ticket.url ? (
-              <a
-                href={ticket.url}
-                target="_blank"
-                rel="noreferrer noopener"
-                className="text-slate-600 transition-colors hover:text-violet-300"
-                aria-label="Im Git-System oeffnen"
-              >
-                <ExternalLink className="h-3 w-3" />
-              </a>
-            ) : null}
-          </div>
-        </Row>
-      ))}
-    </div>
-  );
-}
-
 function BranchList({ branches }: { branches: BranchInfo[] }) {
   if (branches.length === 0) return <Empty text="Keine Branches gefunden." />;
   return (

src/components/Heatmap.tsx

@@ -1,184 +0,0 @@
-import { CalendarRange } from "lucide-react";
-import type { CommitCalendar } from "@/lib/git/calendar";
-import { formatDate } from "@/lib/utils";
-
-/**
- * Commits je Tag als Kalender – ein Feld pro Tag, Wochen als Spalten.
- *
- * Wie die Verlaufslinie ohne Diagrammbibliothek: es sind Quadrate in einem
- * Raster, dafuer braucht es keine Achsen und keine Legende ausser der
- * Farbskala.
- *
- * Gezeichnet wird nur der Zeitraum, fuer den wirklich Daten vorliegen.
- * Wo die Seiten des Anbieters nur ein paar Monate zurueckreichen, faengt die
- * Heatmap dort an – ein leeres Feld wuerde sonst behaupten, an dem Tag sei
- * nicht gearbeitet worden, obwohl darueber nichts bekannt ist.
- */
-
-const WOCHENTAGE = ["Mo", "Di", "Mi", "Do", "Fr", "Sa", "So"];
-const MONATE = [
-  "Jan", "Feb", "Mär", "Apr", "Mai", "Jun",
-  "Jul", "Aug", "Sep", "Okt", "Nov", "Dez",
-];
-
-/** Fuenf Stufen, damit ein einzelner Ausreisser nicht alles andere platt macht. */
-function stufe(anzahl: number, hoch: number): number {
-  if (anzahl <= 0) return 0;
-  if (hoch <= 1) return 4;
-  const anteil = anzahl / hoch;
-  if (anteil > 0.75) return 4;
-  if (anteil > 0.5) return 3;
-  if (anteil > 0.25) return 2;
-  return 1;
-}
-
-const FARBEN = [
-  "fill-white/6",
-  "fill-violet-500/25",
-  "fill-violet-500/45",
-  "fill-violet-400/70",
-  "fill-violet-300",
-];
-
-/** Montag der Woche, in der dieser Tag liegt (UTC). */
-function wochenanfang(tag: Date): Date {
-  const kopie = new Date(tag);
-  // getUTCDay: 0 = Sonntag. Die Woche soll am Montag beginnen.
-  const versatz = (kopie.getUTCDay() + 6) % 7;
-  kopie.setUTCDate(kopie.getUTCDate() - versatz);
-  kopie.setUTCHours(0, 0, 0, 0);
-  return kopie;
-}
-
-export function Heatmap({ calendar }: { calendar: CommitCalendar }) {
-  const von = new Date(`${calendar.from}T00:00:00.000Z`);
-  const bis = new Date(`${calendar.to}T00:00:00.000Z`);
-  if (Number.isNaN(von.getTime()) || Number.isNaN(bis.getTime()) || von > bis) return null;
-
-  const start = wochenanfang(von);
-  const wochen: Array<Array<{ key: string; anzahl: number; ausserhalb: boolean }>> = [];
-
-  let hoechstwert = 0;
-  for (const wert of Object.values(calendar.days)) {
-    if (wert > hoechstwert) hoechstwert = wert;
-  }
-
-  const zeiger = new Date(start);
-  while (zeiger <= bis) {
-    const woche: Array<{ key: string; anzahl: number; ausserhalb: boolean }> = [];
-    for (let tag = 0; tag < 7; tag += 1) {
-      const key = zeiger.toISOString().slice(0, 10);
-      // Vor dem ersten bekannten Tag und nach heute wird nichts gezeichnet.
-      const ausserhalb = zeiger < von || zeiger > bis;
-      woche.push({ key, anzahl: calendar.days[key] ?? 0, ausserhalb });
-      zeiger.setUTCDate(zeiger.getUTCDate() + 1);
-    }
-    wochen.push(woche);
-  }
-
-  const gesamt = Object.values(calendar.days).reduce((sum, wert) => sum + wert, 0);
-  const tageMitCommits = Object.keys(calendar.days).length;
-
-  // Masse in SVG-Einheiten; die Breite ergibt sich aus der Zahl der Wochen.
-  const feld = 11;
-  const luecke = 3;
-  const kopf = 14;
-  const spalte = feld + luecke;
-  const breite = wochen.length * spalte - luecke;
-  const hoehe = kopf + 7 * spalte - luecke;
-
-  // Monatsbeschriftung an der Woche, in der ein neuer Monat beginnt.
-  const monate: Array<{ x: number; label: string }> = [];
-  let letzterMonat = -1;
-  wochen.forEach((woche, index) => {
-    const ersterTag = new Date(`${woche[0].key}T00:00:00.000Z`);
-    const monat = ersterTag.getUTCMonth();
-    if (monat !== letzterMonat) {
-      letzterMonat = monat;
-      monate.push({ x: index * spalte, label: MONATE[monat] });
-    }
-  });
-
-  return (
-    <div className="glass p-4">
-      <div className="mb-3 flex flex-wrap items-baseline justify-between gap-x-3 gap-y-1">
-        <p className="flex items-center gap-1.5 text-[11px] font-semibold uppercase tracking-[0.14em] text-slate-500">
-          <CalendarRange className="h-3 w-3" />
-          Commits je Tag
-        </p>
-        <p className="text-[11px] text-slate-500">
-          {gesamt} an {tageMitCommits} {tageMitCommits === 1 ? "Tag" : "Tagen"} ·{" "}
-          {/* Der Zeitraum gehoert dazu: er ist nicht immer ein Jahr. */}
-          seit {formatDate(calendar.from)}
-          {calendar.truncated ? " (Älteres nicht abgerufen)" : ""}
-        </p>
-      </div>
-
-      <div className="overflow-x-auto">
-        <svg
-          viewBox={`0 0 ${breite + 22} ${hoehe}`}
-          width={breite + 22}
-          height={hoehe}
-          className="max-w-full"
-          role="img"
-          aria-label={`Commits je Tag seit ${formatDate(calendar.from)}: ${gesamt} an ${tageMitCommits} Tagen`}
-        >
-          {monate.map((monat, index) => (
-            <text
-              key={`${monat.label}-${index}`}
-              x={monat.x + 22}
-              y={9}
-              className="fill-slate-500 text-[8px]"
-            >
-              {monat.label}
-            </text>
-          ))}
-
-          {/* Nur jeder zweite Wochentag, sonst steht es zu eng. */}
-          {WOCHENTAGE.map((tag, index) =>
-            index % 2 === 1 ? (
-              <text
-                key={tag}
-                x={0}
-                y={kopf + index * spalte + feld - 2}
-                className="fill-slate-600 text-[7px]"
-              >
-                {tag}
-              </text>
-            ) : null,
-          )}
-
-          {wochen.map((woche, x) =>
-            woche.map((tag, y) =>
-              tag.ausserhalb ? null : (
-                <rect
-                  key={tag.key}
-                  x={x * spalte + 22}
-                  y={kopf + y * spalte}
-                  width={feld}
-                  height={feld}
-                  rx={2}
-                  className={FARBEN[stufe(tag.anzahl, hoechstwert)]}
-                >
-                  <title>
-                    {`${formatDate(tag.key)}: ${tag.anzahl} ${tag.anzahl === 1 ? "Commit" : "Commits"}`}
-                  </title>
-                </rect>
-              ),
-            ),
-          )}
-        </svg>
-      </div>
-
-      <div className="mt-2 flex items-center justify-end gap-1.5 text-[10px] text-slate-600">
-        <span>weniger</span>
-        {FARBEN.map((farbe, index) => (
-          <svg key={index} width={9} height={9} aria-hidden>
-            <rect width={9} height={9} rx={2} className={farbe} />
-          </svg>
-        ))}
-        <span>mehr</span>
-      </div>
-    </div>
-  );
-}

src/components/KanbanBoard.tsx

@@ -1,389 +0,0 @@
-"use client";
-
-import { useEffect, useMemo, useRef, useState } from "react";
-import Link from "next/link";
-import { useRouter } from "next/navigation";
-import {
-  DndContext,
-  DragOverlay,
-  PointerSensor,
-  TouchSensor,
-  pointerWithin,
-  useDroppable,
-  useSensor,
-  useSensors,
-  type DragEndEvent,
-  type DragOverEvent,
-  type DragStartEvent,
-} from "@dnd-kit/core";
-import { restrictToWindowEdges } from "@dnd-kit/modifiers";
-import { SortableContext, useSortable, verticalListSortingStrategy } from "@dnd-kit/sortable";
-import { CSS } from "@dnd-kit/utilities";
-import { GitBranch, GripVertical, Loader2, NotebookPen } from "lucide-react";
-import type { ProjectStatus } from "@prisma/client";
-import { CiBadge } from "@/components/CiBadge";
-import { STATUS_META, STATUS_ORDER, accentOf } from "@/lib/status";
-import { cn, truncate } from "@/lib/utils";
-import type { ProjectListItem } from "@/types";
-
-type Columns = Record<ProjectStatus, ProjectListItem[]>;
-
-/**
- * Statusspalten mit Ziehen, Ablegen und freier Reihenfolge.
- *
- * Die Reihenfolge innerhalb einer Spalte wird als Position am Projekt
- * gespeichert – wie beim Aufgabenbrett. Deshalb richtet sich das Brett auch
- * nicht nach der im Kopf gewaehlten Sortierung: die gilt fuer Raster und
- * Gruppen, hier zaehlt die Anordnung von Hand.
- *
- * Verschieben wird sofort angezeigt und erst danach gespeichert; scheitert
- * das Speichern, springt alles auf den Serverstand zurueck.
- */
-export function KanbanBoard({
-  projects,
-  showArchived,
-  selection,
-  onToggleSelect,
-}: {
-  projects: ProjectListItem[];
-  showArchived: boolean;
-  selection: Set<string>;
-  onToggleSelect: (id: string, selected: boolean) => void;
-}) {
-  const router = useRouter();
-  const [activeId, setActiveId] = useState<string | null>(null);
-  const [saving, setSaving] = useState(false);
-
-  const sichtbar = useMemo(
-    () => STATUS_ORDER.filter((status) => showArchived || status !== "ARCHIVED"),
-    [showArchived],
-  );
-
-  const group = useMemo(
-    () => (list: ProjectListItem[]): Columns => {
-      const leer = Object.fromEntries(
-        STATUS_ORDER.map((status) => [status, [] as ProjectListItem[]]),
-      ) as Columns;
-      for (const project of list) leer[project.status].push(project);
-      for (const status of STATUS_ORDER) {
-        // Bei gleicher Position bleibt es bei der Reihenfolge, in der die
-        // Liste kam – das ist die im Kopf gewaehlte Sortierung.
-        leer[status].sort((a, b) => a.position - b.position);
-      }
-      return leer;
-    },
-    [],
-  );
-
-  const [columns, setColumns] = useState<Columns>(() => group(projects));
-
-  // Waehrend eines Zuges nicht dazwischenfunken: der Serverstand ist dann
-  // noch der alte und wuerde die Karte zurueckspringen lassen.
-  const dragging = useRef(false);
-  useEffect(() => {
-    if (!dragging.current) setColumns(group(projects));
-  }, [projects, group]);
-
-  const sensors = useSensors(
-    // Erst ab ein paar Pixeln Bewegung ziehen – sonst liesse sich die Karte
-    // nicht mehr anklicken.
-    useSensor(PointerSensor, { activationConstraint: { distance: 6 } }),
-    useSensor(TouchSensor, { activationConstraint: { delay: 180, tolerance: 8 } }),
-  );
-
-  const active = activeId
-    ? Object.values(columns).flat().find((project) => project.id === activeId) ?? null
-    : null;
-
-  /** In welcher Spalte steckt diese Kennung – oder ist sie selbst eine? */
-  function containerOf(key: string): ProjectStatus | null {
-    if ((STATUS_ORDER as string[]).includes(key)) return key as ProjectStatus;
-    return (
-      STATUS_ORDER.find((status) => columns[status].some((project) => project.id === key)) ?? null
-    );
-  }
-
-  function onDragStart(event: DragStartEvent) {
-    dragging.current = true;
-    setActiveId(String(event.active.id));
-  }
-
-  function onDragOver(event: DragOverEvent) {
-    const activeKey = String(event.active.id);
-    const overKey = event.over ? String(event.over.id) : null;
-    if (!overKey) return;
-
-    const from = containerOf(activeKey);
-    const to = containerOf(overKey);
-    if (!from || !to || from === to) return;
-
-    setColumns((current) => {
-      const moved = current[from].find((project) => project.id === activeKey);
-      if (!moved) return current;
-
-      const zielIndex = current[to].findIndex((project) => project.id === overKey);
-      const einfuegenBei = zielIndex >= 0 ? zielIndex : current[to].length;
-
-      return {
-        ...current,
-        [from]: current[from].filter((project) => project.id !== activeKey),
-        [to]: [
-          ...current[to].slice(0, einfuegenBei),
-          { ...moved, status: to },
-          ...current[to].slice(einfuegenBei),
-        ],
-      };
-    });
-  }
-
-  async function onDragEnd(event: DragEndEvent) {
-    const activeKey = String(event.active.id);
-    const overKey = event.over ? String(event.over.id) : null;
-
-    let next = columns;
-
-    if (overKey) {
-      const container = containerOf(activeKey);
-      const ueber = containerOf(overKey);
-      if (container && container === ueber) {
-        const list = columns[container];
-        const alt = list.findIndex((project) => project.id === activeKey);
-        const neu = list.findIndex((project) => project.id === overKey);
-        if (alt >= 0 && neu >= 0 && alt !== neu) {
-          const sortiert = [...list];
-          const [moved] = sortiert.splice(alt, 1);
-          sortiert.splice(neu, 0, moved);
-          next = { ...columns, [container]: sortiert };
-          setColumns(next);
-        }
-      }
-    }
-
-    setActiveId(null);
-    dragging.current = false;
-    await persist(next);
-  }
-
-  async function persist(next: Columns) {
-    setSaving(true);
-    try {
-      const response = await fetch("/api/projects/reorder", {
-        method: "PATCH",
-        headers: { "Content-Type": "application/json" },
-        body: JSON.stringify({
-          columns: Object.fromEntries(
-            sichtbar.map((status) => [status, next[status].map((project) => project.id)]),
-          ),
-        }),
-      });
-      if (!response.ok) throw new Error("failed");
-      router.refresh();
-    } catch {
-      // Zurueck auf den Serverstand – die Bewegung war dann nur optisch.
-      setColumns(group(projects));
-    } finally {
-      setSaving(false);
-    }
-  }
-
-  return (
-    <DndContext
-      sensors={sensors}
-      collisionDetection={pointerWithin}
-      modifiers={[restrictToWindowEdges]}
-      onDragStart={onDragStart}
-      onDragOver={onDragOver}
-      onDragEnd={onDragEnd}
-      onDragCancel={() => {
-        setActiveId(null);
-        dragging.current = false;
-        setColumns(group(projects));
-      }}
-    >
-      {saving ? (
-        <p className="mb-2 flex items-center gap-1.5 text-[11px] text-slate-500">
-          <Loader2 className="h-3 w-3 animate-spin" />
-          Reihenfolge wird gespeichert…
-        </p>
-      ) : null}
-
-      <div className="flex gap-3 overflow-x-auto pb-3">
-        {sichtbar.map((status) => (
-          <Column key={status} status={status} count={columns[status].length}>
-            <SortableContext
-              items={columns[status].map((project) => project.id)}
-              strategy={verticalListSortingStrategy}
-            >
-              {columns[status].map((project) => (
-                <KanbanCard
-                  key={project.id}
-                  project={project}
-                  selected={selection.has(project.id)}
-                  onToggleSelect={onToggleSelect}
-                />
-              ))}
-            </SortableContext>
-          </Column>
-        ))}
-      </div>
-
-      {/* Die mitgezogene Karte haengt am Cursor, nicht in der Spalte. */}
-      <DragOverlay dropAnimation={{ duration: 180, easing: "cubic-bezier(0.22, 1, 0.36, 1)" }}>
-        {active ? <KanbanCard project={active} overlay /> : null}
-      </DragOverlay>
-    </DndContext>
-  );
-}
-
-function Column({
-  status,
-  count,
-  children,
-}: {
-  status: ProjectStatus;
-  count: number;
-  children: React.ReactNode;
-}) {
-  const meta = STATUS_META[status];
-  const { setNodeRef, isOver } = useDroppable({ id: status });
-
-  return (
-    <section
-      ref={setNodeRef}
-      // Eindeutiger Anker fuer Tests und Automatisierung.
-      data-column={status}
-      className={cn(
-        "flex w-[17rem] shrink-0 flex-col rounded-2xl border border-white/6 bg-white/2 transition-colors",
-        isOver && "border-violet-400/40 bg-violet-500/6",
-      )}
-    >
-      <header className="flex items-center gap-2 px-3 py-2.5">
-        <span
-          className="accent-dot h-2 w-2 rounded-full"
-          style={{ backgroundColor: meta.color, color: meta.color }}
-        />
-        <h3 className="text-xs font-semibold uppercase tracking-wider text-slate-300">
-          {meta.label}
-        </h3>
-        <span className="ml-auto rounded-full bg-white/6 px-1.5 py-0.5 text-[10px] tabular-nums text-slate-400">
-          {count}
-        </span>
-      </header>
-
-      <div className="flex min-h-[7rem] flex-1 flex-col gap-2 px-2 pb-2">
-        {children}
-        {count === 0 ? (
-          <p
-            className={cn(
-              "rounded-xl border border-dashed border-white/8 px-3 py-6 text-center text-[11px] text-slate-600 transition-colors",
-              isOver && "border-violet-400/40 text-violet-200",
-            )}
-          >
-            {isOver ? "Hier ablegen" : "leer"}
-          </p>
-        ) : null}
-      </div>
-    </section>
-  );
-}
-
-function KanbanCard({
-  project,
-  overlay = false,
-  selected = false,
-  onToggleSelect,
-}: {
-  project: ProjectListItem;
-  overlay?: boolean;
-  selected?: boolean;
-  onToggleSelect?: (id: string, selected: boolean) => void;
-}) {
-  const accent = accentOf(project.accent);
-  const { attributes, listeners, setNodeRef, transform, transition, isDragging } = useSortable({
-    id: project.id,
-  });
-
-  return (
-    <article
-      ref={overlay ? undefined : setNodeRef}
-      style={
-        {
-          "--accent-from": accent.from,
-          "--accent-to": accent.to,
-          ...(overlay ? {} : { transform: CSS.Transform.toString(transform), transition }),
-        } as React.CSSProperties
-      }
-      className={cn(
-        "popover group relative overflow-hidden p-3",
-        // Das Original bleibt als blasser Platzhalter stehen.
-        isDragging && !overlay && "opacity-30",
-        overlay && "rotate-2 cursor-grabbing shadow-2xl ring-1 ring-violet-400/40",
-        selected && "ring-1 ring-violet-400/60",
-      )}
-    >
-      <span className="accent-bar absolute inset-x-0 top-0 h-[2px] opacity-70" aria-hidden="true" />
-
-      <div className="flex items-start gap-2">
-        {/* Nur der Griff zieht – so bleibt der Titel ein normaler Link. */}
-        <button
-          type="button"
-          className="mt-0.5 shrink-0 cursor-grab touch-none rounded p-0.5 text-slate-600 transition-colors hover:text-slate-300 active:cursor-grabbing"
-          aria-label={`${project.name} verschieben`}
-          {...attributes}
-          {...listeners}
-        >
-          <GripVertical className="h-3.5 w-3.5" />
-        </button>
-
-        {onToggleSelect ? (
-          <input
-            type="checkbox"
-            checked={selected}
-            onChange={(event) => onToggleSelect(project.id, event.target.checked)}
-            className="mt-1 h-3.5 w-3.5 shrink-0 accent-violet-500"
-            aria-label={`${project.name} auswaehlen`}
-          />
-        ) : null}
-
-        <div className="min-w-0 flex-1">
-          <Link
-            href={`/projects/${project.id}`}
-            className="block truncate text-sm font-medium text-slate-100 hover:text-violet-200"
-          >
-            {project.name}
-          </Link>
-          {project.summary ? (
-            <p className="mt-0.5 line-clamp-2 text-[11px] leading-snug text-slate-500">
-              {truncate(project.summary, 90)}
-            </p>
-          ) : null}
-        </div>
-      </div>
-
-      <div className="mt-2.5 h-1 w-full overflow-hidden rounded-full bg-white/6">
-        <div
-          className="accent-bar h-full rounded-full"
-          style={{ width: `${Math.max(2, project.progress)}%` }}
-        />
-      </div>
-
-      <div className="mt-2 flex flex-wrap items-center gap-x-2.5 gap-y-1 text-[10px] text-slate-500">
-        {/* Auf der schmalen Kanban-Karte nur das fuehrende Repository. */}
-        <CiBadge state={project.repositories[0]?.snapshot?.ciState} compact />
-        {project.repositories[0]?.snapshot?.defaultBranch ? (
-          <span className="inline-flex items-center gap-1 font-mono">
-            <GitBranch className="h-3 w-3" />
-            {project.repositories[0].snapshot.defaultBranch}
-          </span>
-        ) : null}
-        {project._count.notes > 0 ? (
-          <span className="inline-flex items-center gap-1">
-            <NotebookPen className="h-3 w-3" />
-            {project._count.notes}
-          </span>
-        ) : null}
-        <span className="ml-auto tabular-nums">{project.progress}%</span>
-      </div>
-    </article>
-  );
-}

src/components/Markdown.test.tsx

@@ -1,90 +0,0 @@
-import { describe, expect, it } from "vitest";
-import { renderToStaticMarkup } from "react-dom/server";
-import { Markdown } from "./Markdown";
-
-/**
- * Markdown kommt aus zwei Quellen, denen nicht zu trauen ist: eigenen
- * Notizen (die zwar der Benutzer schreibt, aber ohne Bereinigung ein
- * XSS-Loch waeren) und dem README eines fremden Repositories.
- *
- * Diese Tests halten die Bereinigung fest. Sie rendern serverseitig, was
- * fuer die Frage genuegt – es geht um das erzeugte HTML, nicht um
- * Verhalten im Browser.
- */
-
-const html = (text: string, baseUrl?: string) =>
-  renderToStaticMarkup(<Markdown baseUrl={baseUrl}>{text}</Markdown>);
-
-describe("Bereinigung", () => {
-  it("laesst kein script durch", () => {
-    const ausgabe = html("<script>alert(1)</script>\n\nText danach.");
-    expect(ausgabe).not.toContain("<script");
-    expect(ausgabe).not.toContain("alert(1)");
-    expect(ausgabe).toContain("Text danach.");
-  });
-
-  it("entfernt Ereignis-Attribute aus rohem HTML", () => {
-    const ausgabe = html('<img src="x" onerror="alert(1)">');
-    expect(ausgabe).not.toContain("onerror");
-    expect(ausgabe).not.toContain("alert");
-  });
-
-  it("laesst kein javascript: als Link durch", () => {
-    const ausgabe = html("[klick](javascript:alert(1))");
-    expect(ausgabe).not.toContain("javascript:");
-  });
-
-  it("laesst kein javascript: ueber ein Bild durch", () => {
-    // Das Bild wird zu einem Link umgebaut – die Quelle darf dabei nicht
-    // unbesehen zum href werden.
-    const ausgabe = html("![x](javascript:alert(1))");
-    expect(ausgabe).not.toContain("javascript:");
-  });
-
-  it("laesst kein data: mit HTML durch", () => {
-    const ausgabe = html("[klick](data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==)");
-    expect(ausgabe).not.toContain("data:text/html");
-  });
-
-  it("haengt an jeden Link noopener und noreferrer", () => {
-    const ausgabe = html("[Ziel](https://example.com)");
-    expect(ausgabe).toContain('target="_blank"');
-    expect(ausgabe).toContain("noopener");
-    expect(ausgabe).toContain("noreferrer");
-  });
-
-  it("laedt keine Bilder, sondern zeigt eine Marke", () => {
-    // Die Content-Security-Policy erlaubt img-src nur von der eigenen
-    // Instanz; ein fremdes README duerfte sonst Zaehlpixel nachladen.
-    const ausgabe = html("![Abzeichen](https://example.com/badge.svg)");
-    expect(ausgabe).not.toContain("<img");
-    expect(ausgabe).toContain("md-image");
-    expect(ausgabe).toContain("Abzeichen");
-  });
-});
-
-describe("Relative Verweise", () => {
-  const BASIS = "https://git.example.com/o/r/blob/main/";
-
-  it("loest relative Links gegen die Basis auf", () => {
-    expect(html("[Doku](docs/x.md)", BASIS)).toContain(`${BASIS}docs/x.md`);
-  });
-
-  it("laesst absolute Links und Anker in Ruhe", () => {
-    expect(html("[Extern](https://example.com/a)", BASIS)).toContain("https://example.com/a");
-    expect(html("[Anker](#titel)", BASIS)).toContain('href="#titel"');
-  });
-
-  it("laesst ohne Basis alles unveraendert", () => {
-    expect(html("[Doku](docs/x.md)")).toContain('href="docs/x.md"');
-  });
-
-  it("erzeugt aus einem Bild im Link keinen Link im Link", () => {
-    // "[![Abzeichen](bild)](ziel)" ist in READMEs die Regel. Ein a im a ist
-    // ungueltiges HTML; der Browser zieht es auseinander, was zu einem
-    // Hydrationsfehler fuehrt – genau daran ist der erste Versuch gescheitert.
-    const ausgabe = html("[![Abzeichen](img/b.svg)](https://example.com/ziel)", BASIS);
-    expect(ausgabe).toContain("<span");
-    expect(ausgabe.match(/<a /g) ?? []).toHaveLength(1);
-  });
-});

src/components/Markdown.tsx

@@ -1,146 +0,0 @@
-"use client";
-
-import ReactMarkdown from "react-markdown";
-import remarkGfm from "remark-gfm";
-import rehypeSanitize, { defaultSchema } from "rehype-sanitize";
-import { cn } from "@/lib/utils";
-
-/**
- * Markdown-Darstellung fuer Beschreibungen und Notizen.
- *
- * Der Inhalt stammt vom Benutzer, wird aber unveraendert gerendert – ohne
- * rehype-sanitize waere das ein XSS-Loch, sobald jemand rohes HTML in eine
- * Notiz schreibt. Das Standardschema erlaubt nur harmlose Elemente; ergaenzt
- * wird lediglich, was fuer Aufgabenlisten und Codebloecke noetig ist.
- */
-const schema = {
-  ...defaultSchema,
-  attributes: {
-    ...defaultSchema.attributes,
-    // Checkboxen aus "- [ ] Aufgabe"
-    input: [...(defaultSchema.attributes?.input ?? []), "checked", "disabled", "type"],
-    // Sprachklassen wie "language-ts" fuer Codebloecke
-    code: [...(defaultSchema.attributes?.code ?? []), ["className", /^language-./]],
-  },
-};
-
-/** Loest relative Verweise gegen die Basis auf; laesst absolute in Ruhe. */
-function absolut(href: string | undefined, base: string | null | undefined): string | undefined {
-  if (!href || !base) return href;
-  if (/^[a-z][a-z0-9+.-]*:/i.test(href) || href.startsWith("//") || href.startsWith("#")) {
-    return href;
-  }
-  try {
-    return new URL(href, base).toString();
-  } catch {
-    return href;
-  }
-}
-
-type HastNode = {
-  type: string;
-  tagName?: string;
-  properties?: Record<string, unknown>;
-  children?: HastNode[];
-  value?: string;
-};
-
-/**
- * Ersetzt Bilder durch eine anklickbare Marke – siehe die Begruendung
- * unten am `.md-image`-Stil.
- *
- * Das passiert im Baum und nicht ueber eine Komponente, weil es auf den
- * Elternknoten ankommt: `[![Abzeichen](bild)](ziel)` ist in READMEs die
- * Regel, und ein `<a>` in einem `<a>` ist ungueltiges HTML. Der Browser
- * zieht es beim Parsen auseinander, was zu einem Hydrationsfehler fuehrt –
- * genau daran ist es beim ersten Versuch gescheitert. Innerhalb eines Links
- * bleibt deshalb nur der Text stehen; der umgebende Link ist ohnehin das,
- * was man anklicken will.
- */
-function bilderAlsMarke(base: string | null | undefined) {
-  return () => (tree: HastNode) => {
-    const gehe = (knoten: HastNode, inLink: boolean) => {
-      const kinder = knoten.children;
-      if (!kinder) return;
-
-      for (let index = 0; index < kinder.length; index += 1) {
-        const kind = kinder[index];
-
-        if (kind.type === "element" && kind.tagName === "img") {
-          const quelle = typeof kind.properties?.src === "string" ? kind.properties.src : undefined;
-          const alt = typeof kind.properties?.alt === "string" ? kind.properties.alt.trim() : "";
-          const text: HastNode = { type: "text", value: alt || "Bild" };
-          const ziel = absolut(quelle, base);
-
-          kinder[index] =
-            inLink || !ziel
-              ? { type: "element", tagName: "span", properties: { className: ["md-image"] }, children: [text] }
-              : {
-                  type: "element",
-                  tagName: "a",
-                  properties: {
-                    className: ["md-image"],
-                    href: ziel,
-                    title: ziel,
-                    target: "_blank",
-                    rel: "noreferrer noopener nofollow",
-                  },
-                  children: [text],
-                };
-          continue;
-        }
-
-        gehe(kind, inLink || (kind.type === "element" && kind.tagName === "a"));
-      }
-    };
-
-    gehe(tree, false);
-  };
-}
-
-export function Markdown({
-  children,
-  className,
-  baseUrl,
-}: {
-  children: string | null | undefined;
-  className?: string;
-  /**
-   * Wogegen relative Verweise aufzuloesen sind. Gesetzt beim README aus
-   * einem Repository – dort zeigen Links auf Dateien daneben, die ohne
-   * Basis ins Leere liefen.
-   */
-  baseUrl?: string | null;
-}) {
-  if (!children?.trim()) return null;
-
-  return (
-    <div className={cn("md", className)}>
-      <ReactMarkdown
-        remarkPlugins={[remarkGfm]}
-        // Erst bereinigen, dann umbauen: die Marke soll nicht selbst durch
-        // die Bereinigung laufen und dabei ihre Klassen verlieren.
-        rehypePlugins={[[rehypeSanitize, schema], bilderAlsMarke(baseUrl)]}
-        components={{
-          // Links aus fremdem Inhalt immer in neuem Tab und ohne
-          // Zugriff auf das oeffnende Fenster.
-          // className muss durchgereicht werden, sonst verlieren die
-          // Bildmarken aus dem Umbau oben ihre Gestalt.
-          a: ({ href, className: klasse, title, children: content }) => (
-            <a
-              href={absolut(href, baseUrl)}
-              className={klasse}
-              title={title}
-              target="_blank"
-              rel="noreferrer noopener nofollow"
-            >
-              {content}
-            </a>
-          ),
-        }}
-      >
-        {children}
-      </ReactMarkdown>
-    </div>
-  );
-}

src/components/NotesPanel.tsx

@@ -4,7 +4,6 @@ import { useState } from "react";
 import { useRouter } from "next/navigation";
 import { Loader2, NotebookPen, Pencil, Pin, PinOff, Plus, Trash2, X } from "lucide-react";
 import type { Note } from "@prisma/client";
-import { Markdown } from "@/components/Markdown";
 import { cn, formatDateTime, formatRelative } from "@/lib/utils";
 
 /** Nur als "bearbeitet" zaehlen, wenn wirklich spaeter geaendert wurde. */
@@ -119,7 +118,7 @@ export function NotesPanel({ projectId, notes }: { projectId: string; notes: Not
           />
           <textarea
             className="field min-h-32 resize-y font-mono text-[13px] leading-relaxed"
-            placeholder={"Gedanken, Todos, Snippets…\n\nMarkdown wird dargestellt:\n- [ ] offene Aufgabe\n**fett**, `code`, [Link](https://…)"}
+            placeholder="Gedanken, Todos, Snippets… Zeilenumbrueche bleiben erhalten."
             value={content}
             onChange={(event) => setContent(event.target.value)}
             autoFocus
@@ -162,7 +161,9 @@ export function NotesPanel({ projectId, notes }: { projectId: string; notes: Not
                     {note.title}
                   </h3>
                 ) : null}
-                <Markdown className="mt-1">{note.content}</Markdown>
+                <p className="mt-1 whitespace-pre-wrap break-words text-sm leading-relaxed text-slate-300">
+                  {note.content}
+                </p>
                 <p className="mt-2.5 text-[11px] text-slate-600" suppressHydrationWarning>
                   {formatDateTime(note.createdAt)}
                   {wasEdited(note) ? ` · bearbeitet ${formatRelative(note.updatedAt)}` : null}

src/components/ProjectBoard.tsx

@@ -1,14 +1,11 @@
 "use client";
 
-import { useEffect, useMemo, useRef, useState } from "react";
-import Link from "next/link";
+import { useMemo, useRef, useState } from "react";
 import {
-  Columns3,
   Database,
   Download,
   LayoutGrid,
   ListFilter,
-  NotebookPen,
   Plus,
   Rows3,
   Search,
@@ -16,9 +13,7 @@ import {
   X,
 } from "lucide-react";
 import type { ProjectStatus } from "@prisma/client";
-import { BulkBar } from "@/components/BulkBar";
 import { ImportDialog } from "@/components/ImportDialog";
-import { KanbanBoard } from "@/components/KanbanBoard";
 import { ProjectCard } from "@/components/ProjectCard";
 import { ProjectDialog } from "@/components/ProjectDialog";
 import { Popover } from "@/components/ui/Popover";
@@ -26,39 +21,8 @@ import { STATUS_META, STATUS_ORDER } from "@/lib/status";
 import { cn } from "@/lib/utils";
 import type { ConnectionSafe, ProjectListItem } from "@/types";
 
-interface NoteHit {
-  projectId: string;
-  noteId: string;
-  title: string | null;
-  /** Ausschnitt mit [[…]] um die Fundstelle – siehe /api/search. */
-  snippet: string;
-}
-
-/**
- * Wandelt die [[…]]-Markierungen von ts_headline in hervorgehobene Stellen.
- * Bewusst kein HTML aus der Datenbank einbetten – der Text stammt aus einer
- * Notiz und damit vom Benutzer.
- */
-function highlight(snippet: string): React.ReactNode[] {
-  return snippet.split(/(\[\[.*?\]\])/g).map((part, index) => {
-    if (part.startsWith("[[") && part.endsWith("]]")) {
-      return (
-        <mark key={index} className="rounded bg-violet-500/25 px-0.5 text-violet-100">
-          {part.slice(2, -2)}
-        </mark>
-      );
-    }
-    return <span key={index}>{part}</span>;
-  });
-}
-
 type SortKey = "updated" | "created" | "name" | "progress" | "priority";
-type ViewMode = "grid" | "grouped" | "kanban";
-
-const VIEWS: ViewMode[] = ["grid", "grouped", "kanban"];
-
-/** Wo Ansicht, Sortierung und Archivschalter im Browser liegen. */
-const ANSICHT_SCHLUESSEL = "nebula.board";
+type ViewMode = "grid" | "grouped";
 
 const SORT_LABEL: Record<SortKey, string> = {
   updated: "Zuletzt geaendert",
@@ -80,90 +44,10 @@ export function ProjectBoard({
   const [sort, setSort] = useState<SortKey>("updated");
   const [view, setView] = useState<ViewMode>("grid");
   const [showArchived, setShowArchived] = useState(false);
-
-  /**
-   * Ansicht und Sortierung ueberdauern das Neuladen.
-   *
-   * Wer sein Brett von Hand anordnet, will es beim naechsten Aufruf auch
-   * sehen und nicht wieder das Raster. Bewusst erst nach dem ersten Rendern
-   * gelesen: der Server kennt den gespeicherten Wert nicht, und ein
-   * Unterschied zwischen beiden waere ein Hydrationsfehler.
-   *
-   * Der Suchbegriff bleibt aussen vor – eine Suche von gestern beim Oeffnen
-   * wiederherzustellen waere eher verwirrend als hilfreich.
-   */
-  useEffect(() => {
-    try {
-      const gespeichert = window.localStorage.getItem(ANSICHT_SCHLUESSEL);
-      if (!gespeichert) return;
-      const wert = JSON.parse(gespeichert) as Partial<{
-        view: ViewMode;
-        sort: SortKey;
-        showArchived: boolean;
-      }>;
-      if (wert.view && VIEWS.includes(wert.view)) setView(wert.view);
-      if (wert.sort && wert.sort in SORT_LABEL) setSort(wert.sort);
-      if (typeof wert.showArchived === "boolean") setShowArchived(wert.showArchived);
-    } catch {
-      // Kaputter oder gesperrter Speicher: dann eben die Voreinstellung.
-    }
-  }, []);
-
-  useEffect(() => {
-    try {
-      window.localStorage.setItem(
-        ANSICHT_SCHLUESSEL,
-        JSON.stringify({ view, sort, showArchived }),
-      );
-    } catch {
-      // Im privaten Modus mancher Browser nicht beschreibbar – kein Grund,
-      // die Seite scheitern zu lassen.
-    }
-  }, [view, sort, showArchived]);
   const [dialogOpen, setDialogOpen] = useState(false);
   const [importOpen, setImportOpen] = useState(false);
   const [dataMenuOpen, setDataMenuOpen] = useState(false);
   const dataButtonRef = useRef<HTMLButtonElement>(null);
-  const [noteHits, setNoteHits] = useState<NoteHit[]>([]);
-  const [selection, setSelection] = useState<Set<string>>(new Set());
-
-  /**
-   * Notizen liegen im Board nicht vor – sie mitzuladen wuerde die Seite
-   * unnoetig aufblaehen. Stattdessen sucht Postgres serverseitig, sobald der
-   * Begriff lang genug ist. Entprellt, damit nicht jeder Tastendruck eine
-   * Abfrage ausloest.
-   */
-  useEffect(() => {
-    const needle = query.trim();
-    if (needle.length < 2) {
-      setNoteHits([]);
-      return;
-    }
-
-    const controller = new AbortController();
-    const timer = setTimeout(async () => {
-      try {
-        const response = await fetch(`/api/search?q=${encodeURIComponent(needle)}`, {
-          signal: controller.signal,
-        });
-        if (!response.ok) return;
-        const body = (await response.json()) as { hits: NoteHit[] };
-        setNoteHits(body.hits ?? []);
-      } catch {
-        // Abgebrochene Anfragen sind der Normalfall beim Tippen.
-      }
-    }, 300);
-
-    return () => {
-      clearTimeout(timer);
-      controller.abort();
-    };
-  }, [query]);
-
-  const noteHitProjectIds = useMemo(
-    () => new Set(noteHits.map((hit) => hit.projectId)),
-    [noteHits],
-  );
 
   const counts = useMemo(() => {
     const map = new Map<ProjectStatus, number>();
@@ -187,11 +71,7 @@ export function ProjectBoard({
         (project.summary ?? "").toLowerCase().includes(needle) ||
         (project.description ?? "").toLowerCase().includes(needle) ||
         project.tags.some((tag) => tag.includes(needle)) ||
-        project.repositories.some((repo) =>
-          (repo.snapshot?.fullName ?? "").toLowerCase().includes(needle),
-        ) ||
-        // Treffer in Notizen kommen vom Server dazu.
-        noteHitProjectIds.has(project.id)
+        (project.snapshot?.fullName ?? "").toLowerCase().includes(needle)
       );
     });
 
@@ -212,7 +92,7 @@ export function ProjectBoard({
     });
 
     return sorted;
-  }, [projects, query, statusFilter, sort, showArchived, noteHitProjectIds]);
+  }, [projects, query, statusFilter, sort, showArchived]);
 
   const grouped = useMemo(() => {
     return STATUS_ORDER.map((status) => ({
@@ -221,28 +101,6 @@ export function ProjectBoard({
     })).filter((group) => group.items.length > 0);
   }, [visible]);
 
-  /**
-   * Was der Filter ausblendet, bleibt nicht ausgewaehlt. Sonst traefe eine
-   * Massenaenderung Projekte, die man gar nicht mehr vor Augen hat.
-   */
-  useEffect(() => {
-    setSelection((current) => {
-      if (current.size === 0) return current;
-      const sichtbar = new Set(visible.map((project) => project.id));
-      const next = new Set([...current].filter((id) => sichtbar.has(id)));
-      return next.size === current.size ? current : next;
-    });
-  }, [visible]);
-
-  function toggleSelect(id: string, selected: boolean) {
-    setSelection((current) => {
-      const next = new Set(current);
-      if (selected) next.add(id);
-      else next.delete(id);
-      return next;
-    });
-  }
-
   function toggleStatus(status: ProjectStatus) {
     setStatusFilter((current) =>
       current.includes(status)
@@ -287,14 +145,6 @@ export function ProjectBoard({
               className="field w-auto min-w-[11rem]"
               value={sort}
               onChange={(event) => setSort(event.target.value as SortKey)}
-              // Im Brett zaehlt die Anordnung von Hand. Die Sortierung hier
-              // stehen zu lassen, ohne dass sie etwas bewirkt, waere irrefuehrend.
-              disabled={view === "kanban"}
-              title={
-                view === "kanban"
-                  ? "Im Brett bestimmt die Reihenfolge, in der du die Karten ablegst."
-                  : undefined
-              }
             >
               {(Object.keys(SORT_LABEL) as SortKey[]).map((key) => (
                 <option key={key} value={key}>
@@ -328,18 +178,6 @@ export function ProjectBoard({
               >
                 <Rows3 className="h-4 w-4" />
               </button>
-              <button
-                type="button"
-                onClick={() => setView("kanban")}
-                className={cn(
-                  "p-2 transition-colors",
-                  view === "kanban" ? "bg-white/10 text-white" : "text-slate-500 hover:text-white",
-                )}
-                aria-label="Kanban-Spalten"
-                title="Kanban – Status per Ziehen aendern"
-              >
-                <Columns3 className="h-4 w-4" />
-              </button>
             </div>
 
             <button
@@ -418,69 +256,13 @@ export function ProjectBoard({
         </div>
       </div>
 
-      {/* Treffer in Notizen */}
-      {noteHits.length > 0 ? (
-        <div className="glass fade-up p-4">
-          <h2 className="mb-2.5 flex items-center gap-2 text-[11px] font-semibold uppercase tracking-wider text-slate-400">
-            <NotebookPen className="h-3.5 w-3.5 text-violet-300" />
-            Treffer in Notizen
-            <span className="rounded-full bg-white/6 px-2 py-0.5 tabular-nums text-slate-400">
-              {noteHits.length}
-            </span>
-          </h2>
-          <ul className="space-y-1">
-            {noteHits.slice(0, 8).map((hit) => {
-              const project = projects.find((entry) => entry.id === hit.projectId);
-              return (
-                <li key={hit.noteId}>
-                  <Link
-                    href={`/projects/${hit.projectId}`}
-                    className="block rounded-lg px-2.5 py-2 transition-colors hover:bg-white/5"
-                  >
-                    <span className="flex flex-wrap items-baseline gap-x-2">
-                      <span className="text-sm text-slate-200">
-                        {project?.name ?? "Projekt"}
-                      </span>
-                      {hit.title ? (
-                        <span className="text-[11px] text-slate-500">· {hit.title}</span>
-                      ) : null}
-                    </span>
-                    <span className="mt-0.5 block text-xs leading-snug text-slate-400">
-                      {highlight(hit.snippet)}
-                    </span>
-                  </Link>
-                </li>
-              );
-            })}
-          </ul>
-          {noteHits.length > 8 ? (
-            <p className="mt-2 px-2.5 text-[11px] text-slate-600">
-              … und {noteHits.length - 8} weitere
-            </p>
-          ) : null}
-        </div>
-      ) : null}
-
       {/* Inhalt */}
       {visible.length === 0 ? (
         <EmptyState hasFilters={hasFilters} onCreate={() => setDialogOpen(true)} />
-      ) : view === "kanban" ? (
-        <KanbanBoard
-          projects={visible}
-          showArchived={showArchived}
-          selection={selection}
-          onToggleSelect={toggleSelect}
-        />
       ) : view === "grid" ? (
         <div className="grid gap-4 sm:grid-cols-2 xl:grid-cols-3 2xl:grid-cols-4">
           {visible.map((project, index) => (
-            <ProjectCard
-              key={project.id}
-              project={project}
-              index={index}
-              selected={selection.has(project.id)}
-              onToggleSelect={toggleSelect}
-            />
+            <ProjectCard key={project.id} project={project} index={index} />
           ))}
         </div>
       ) : (
@@ -504,13 +286,7 @@ export function ProjectBoard({
                 </div>
                 <div className="grid gap-4 sm:grid-cols-2 xl:grid-cols-3 2xl:grid-cols-4">
                   {group.items.map((project, index) => (
-                    <ProjectCard
-                      key={project.id}
-                      project={project}
-                      index={index}
-                      selected={selection.has(project.id)}
-                      onToggleSelect={toggleSelect}
-                    />
+                    <ProjectCard key={project.id} project={project} index={index} />
                   ))}
                 </div>
               </div>
@@ -519,14 +295,6 @@ export function ProjectBoard({
         </div>
       )}
 
-      {selection.size > 0 ? (
-        <BulkBar
-          ids={[...selection]}
-          onDone={() => setSelection(new Set())}
-          onClear={() => setSelection(new Set())}
-        />
-      ) : null}
-
       <Popover
         anchorRef={dataButtonRef}
         open={dataMenuOpen}

src/components/ProjectCard.tsx

@@ -4,20 +4,16 @@ import Link from "next/link";
 import { useState } from "react";
 import {
   AlertTriangle,
-  CheckSquare,
   GitBranch,
   GitCommitHorizontal,
   NotebookPen,
   Star,
   Tag,
 } from "lucide-react";
-import { CiBadge } from "@/components/CiBadge";
-import { Sparkline } from "@/components/Sparkline";
 import { StatusSelect } from "@/components/StatusSelect";
-import { repoTitle } from "@/lib/git/meta";
 import { PRIORITY_META, accentOf } from "@/lib/status";
 import { cn, formatRelative, truncate } from "@/lib/utils";
-import { asArray, type ProjectListItem } from "@/types";
+import type { ProjectListItem } from "@/types";
 
 const PROVIDER_LABEL: Record<string, string> = {
   GITHUB: "GitHub",
@@ -29,28 +25,10 @@ const PROVIDER_LABEL: Record<string, string> = {
  * Karte im Board. Die gesamte Flaeche ist ein Link (per "stretched link"),
  * interaktive Elemente liegen darueber und bekommen pointer-events zurueck.
  */
-export function ProjectCard({
-  project,
-  index = 0,
-  selected = false,
-  onToggleSelect,
-}: {
-  project: ProjectListItem;
-  index?: number;
-  selected?: boolean;
-  onToggleSelect?: (id: string, selected: boolean) => void;
-}) {
+export function ProjectCard({ project, index = 0 }: { project: ProjectListItem; index?: number }) {
   const accent = accentOf(project.accent);
   const priority = PRIORITY_META[project.priority] ?? PRIORITY_META[2];
-  // Auf der Karte ist nur fuer eines Platz: das fuehrende. Wie viele es
-  // insgesamt sind, sagt die Zahl daneben.
-  const leading = project.repositories[0] ?? null;
-  const snapshot = leading?.snapshot ?? null;
-  const weitere = project.repositories.length - 1;
-  // Ein Fehler an irgendeinem Repo gehoert auf die Karte, nicht nur einer am
-  // fuehrenden – sonst bliebe er unbemerkt.
-  const syncError = project.repositories.find((repo) => repo.syncError)?.syncError ?? null;
-  const activity = asArray<number>(snapshot?.commitActivity);
+  const snapshot = project.snapshot;
   const [favorite, setFavorite] = useState(project.favorite);
 
   async function toggleFavorite() {
@@ -70,10 +48,7 @@ export function ProjectCard({
 
   return (
     <article
-      className={cn(
-        "glass card-glow fade-up group relative overflow-hidden p-5",
-        selected && "ring-1 ring-violet-400/60",
-      )}
+      className="glass card-glow fade-up group relative overflow-hidden p-5"
       style={
         {
           "--accent-from": accent.from,
@@ -94,21 +69,6 @@ export function ProjectCard({
         <div className="flex items-start justify-between gap-3">
           <div className="min-w-0 flex-1">
             <div className="flex items-center gap-2">
-              {/* Gedaempft, aber immer da. Nur beim Ueberfahren einzublenden
-                  waere auf einem Touchgeraet gar nicht erreichbar – und wer
-                  es nie sieht, weiss nicht, dass es die Auswahl gibt. */}
-              {onToggleSelect ? (
-                <input
-                  type="checkbox"
-                  checked={selected}
-                  onChange={(event) => onToggleSelect(project.id, event.target.checked)}
-                  aria-label={`${project.name} auswaehlen`}
-                  className={cn(
-                    "pointer-events-auto h-3.5 w-3.5 shrink-0 accent-violet-500 transition-opacity",
-                    !selected && "opacity-35 group-hover:opacity-100 focus-visible:opacity-100",
-                  )}
-                />
-              ) : null}
               <h3 className="truncate text-base font-semibold text-white transition-colors group-hover:text-violet-200">
                 {project.name}
               </h3>
@@ -150,31 +110,12 @@ export function ProjectCard({
           </div>
         </div>
 
-        {/* Commit-Aktivitaet */}
-        {activity.some((value) => value > 0) ? (
-          <div className="mt-3">
-            <Sparkline values={activity} height={20} />
-          </div>
-        ) : null}
-
         {/* Git-Kurzinfo */}
         <div className="mt-4 flex flex-wrap items-center gap-x-3 gap-y-2 text-[11px] text-slate-400">
-          <CiBadge state={snapshot?.ciState} name={snapshot?.ciName} compact />
-
-          {leading?.connection ? (
+          {project.connection ? (
             <span className="glass-soft inline-flex items-center gap-1.5 px-2 py-1">
               <span className="h-1.5 w-1.5 rounded-full bg-violet-400" aria-hidden="true" />
-              {PROVIDER_LABEL[leading.connection.provider] ?? leading.connection.provider}
-            </span>
-          ) : null}
-
-          {weitere > 0 ? (
-            <span
-              className="inline-flex items-center gap-1.5"
-              title={project.repositories.map((repo) => repoTitle(repo)).join(", ")}
-            >
-              <GitBranch className="h-3.5 w-3.5 text-slate-500" />+{weitere} Repo
-              {weitere === 1 ? "" : "s"}
+              {PROVIDER_LABEL[project.connection.provider] ?? project.connection.provider}
             </span>
           ) : null}
 
@@ -202,16 +143,6 @@ export function ProjectCard({
             </span>
           ) : null}
 
-          {project._count.tasks > 0 ? (
-            <span
-              className="inline-flex items-center gap-1.5"
-              title={`${project.tasks.length} von ${project._count.tasks} Aufgaben erledigt`}
-            >
-              <CheckSquare className="h-3.5 w-3.5 text-slate-500" />
-              {project.tasks.length}/{project._count.tasks}
-            </span>
-          ) : null}
-
           {project._count.notes > 0 ? (
             <span className="inline-flex items-center gap-1.5">
               <NotebookPen className="h-3.5 w-3.5 text-slate-500" />
@@ -219,8 +150,11 @@ export function ProjectCard({
             </span>
           ) : null}
 
-          {syncError ? (
-            <span className="inline-flex items-center gap-1.5 text-rose-300/80" title={syncError}>
+          {project.syncError ? (
+            <span
+              className="inline-flex items-center gap-1.5 text-rose-300/80"
+              title={project.syncError}
+            >
               <AlertTriangle className="h-3.5 w-3.5" />
               Sync-Fehler
             </span>

src/components/ProjectDialog.tsx

@@ -2,7 +2,7 @@
 
 import { useEffect, useMemo, useState } from "react";
 import { useRouter } from "next/navigation";
-import { Loader2, RefreshCw, Search, Trash2 } from "lucide-react";
+import { Loader2, RefreshCw, Search } from "lucide-react";
 import type { ProjectStatus } from "@prisma/client";
 import { Modal } from "@/components/ui/Modal";
 import { ACCENTS, PRIORITY_META, STATUS_META, STATUS_ORDER } from "@/lib/status";
@@ -17,33 +17,6 @@ interface ProjectDialogProps {
   project?: ProjectListItem | null;
 }
 
-/** Eine Vorlage, so wie sie /api/templates liefert. */
-export interface ProjectTemplateEntry {
-  id: string;
-  name: string;
-  description: string | null;
-  summary: string | null;
-  projectDescription: string | null;
-  status: ProjectStatus;
-  priority: number;
-  accent: string;
-  tags: string[];
-  progressFromTasks: boolean;
-  notes: unknown[];
-  tasks: unknown[];
-}
-
-/** "3 Notizen, 5 Aufgaben" – oder was davon zutrifft. */
-function beschreibeVorlage(vorlage: ProjectTemplateEntry): string {
-  const teile: string[] = [];
-  const notizen = Array.isArray(vorlage.notes) ? vorlage.notes.length : 0;
-  const aufgaben = Array.isArray(vorlage.tasks) ? vorlage.tasks.length : 0;
-  if (notizen > 0) teile.push(`${notizen} ${notizen === 1 ? "Notiz" : "Notizen"}`);
-  if (aufgaben > 0) teile.push(`${aufgaben} ${aufgaben === 1 ? "Aufgabe" : "Aufgaben"}`);
-  if (vorlage.tags.length > 0) teile.push(vorlage.tags.map((tag) => `#${tag}`).join(" "));
-  return teile.length > 0 ? teile.join(" · ") : "nur Stammdaten";
-}
-
 interface FormState {
   name: string;
   summary: string;
@@ -59,9 +32,6 @@ interface FormState {
   repoOwner: string;
   repoName: string;
   autoSync: boolean;
-  progressFromTasks: boolean;
-  /** Nur beim Anlegen: aus welcher Vorlage Notizen und Aufgaben kommen. */
-  templateId: string;
 }
 
 const EMPTY: FormState = {
@@ -79,8 +49,6 @@ const EMPTY: FormState = {
   repoOwner: "",
   repoName: "",
   autoSync: true,
-  progressFromTasks: false,
-  templateId: "",
 };
 
 export function ProjectDialog({ open, onClose, connections, project }: ProjectDialogProps) {
@@ -90,72 +58,14 @@ export function ProjectDialog({ open, onClose, connections, project }: ProjectDi
   const [error, setError] = useState<string | null>(null);
   const [fieldErrors, setFieldErrors] = useState<Record<string, string>>({});
 
-  const isEdit = Boolean(project);
-
-  const [templates, setTemplates] = useState<ProjectTemplateEntry[]>([]);
-  const gewaehlteVorlage = templates.find((entry) => entry.id === form.templateId) ?? null;
-
-  /**
-   * Die Vorlagen werden erst geladen, wenn der Dialog aufgeht – und nur zum
-   * Anlegen. Beim Bearbeiten waeren sie nur Ballast.
-   */
-  useEffect(() => {
-    if (!open || isEdit) return;
-    let abgebrochen = false;
-    fetch("/api/templates")
-      .then((response) => (response.ok ? response.json() : { templates: [] }))
-      .then((payload) => {
-        if (!abgebrochen) setTemplates(payload.templates ?? []);
-      })
-      .catch(() => undefined);
-    return () => {
-      abgebrochen = true;
-    };
-  }, [open, isEdit]);
-
-  /**
-   * Uebernimmt die Stammdaten sichtbar in die Felder. Notizen und Aufgaben
-   * bleiben der Serverseite ueberlassen: sie liessen sich hier nicht
-   * darstellen, und wer die Vorlage wieder abwaehlt, soll sie auch nicht
-   * mitgeschleppt bekommen.
-   *
-   * Bereits Getipptes wird nicht ueberschrieben – nur leere Felder werden
-   * gefuellt.
-   */
-  function applyTemplate(templateId: string) {
-    const vorlage = templates.find((entry) => entry.id === templateId);
-    if (!vorlage) {
-      update("templateId", "");
-      return;
-    }
-
-    setForm((previous) => ({
-      ...previous,
-      templateId,
-      name: previous.name || vorlage.name,
-      summary: previous.summary || (vorlage.summary ?? ""),
-      description: previous.description || (vorlage.projectDescription ?? ""),
-      status: vorlage.status,
-      priority: vorlage.priority,
-      accent: vorlage.accent,
-      tags: previous.tags || vorlage.tags.join(", "),
-      progressFromTasks: vorlage.progressFromTasks,
-    }));
-  }
-
-  async function removeTemplate(vorlage: ProjectTemplateEntry) {
-    if (!window.confirm(`Vorlage „${vorlage.name}“ loeschen?`)) return;
-    await fetch(`/api/templates/${vorlage.id}`, { method: "DELETE" }).catch(() => undefined);
-    setTemplates((current) => current.filter((entry) => entry.id !== vorlage.id));
-    update("templateId", "");
-  }
-
   const [repoPickerOpen, setRepoPickerOpen] = useState(false);
   const [repos, setRepos] = useState<RepoListEntry[]>([]);
   const [reposLoading, setReposLoading] = useState(false);
   const [repoFilter, setRepoFilter] = useState("");
   const [repoError, setRepoError] = useState<string | null>(null);
 
+  const isEdit = Boolean(project);
+
   useEffect(() => {
     if (!open) return;
     setError(null);
@@ -175,16 +85,11 @@ export function ProjectDialog({ open, onClose, connections, project }: ProjectDi
             accent: project.accent,
             tags: project.tags.join(", "),
             favorite: project.favorite,
-            // Der Dialog bearbeitet das fuehrende Repository. Weitere
-            // verwaltet das Git-Panel – hier wuerde eine Liste den Dialog
-            // sprengen, in dem es eigentlich um das Projekt geht.
-            connectionId: project.repositories[0]?.connectionId ?? "",
-            repoUrl: project.repositories[0]?.repoUrl ?? "",
-            repoOwner: project.repositories[0]?.repoOwner ?? "",
-            repoName: project.repositories[0]?.repoName ?? "",
-            autoSync: project.repositories[0]?.autoSync ?? true,
-            progressFromTasks: project.progressFromTasks,
-            templateId: "",
+            connectionId: project.connectionId ?? "",
+            repoUrl: project.repoUrl ?? "",
+            repoOwner: project.repoOwner ?? "",
+            repoName: project.repoName ?? "",
+            autoSync: project.autoSync,
           }
         : EMPTY,
     );
@@ -253,9 +158,6 @@ export function ProjectDialog({ open, onClose, connections, project }: ProjectDi
       repoOwner: form.repoOwner,
       repoName: form.repoName,
       autoSync: form.autoSync,
-      progressFromTasks: form.progressFromTasks,
-      // Nur beim Anlegen; beim Bearbeiten kennt das Schema das Feld nicht.
-      ...(isEdit ? {} : { templateId: form.templateId || null }),
     };
 
     try {
@@ -294,52 +196,6 @@ export function ProjectDialog({ open, onClose, connections, project }: ProjectDi
       }
     >
       <form onSubmit={submit} className="space-y-5">
-        {/* Nur beim Anlegen. Ein bestehendes Projekt nachtraeglich aus einer
-            Vorlage zu befuellen wuerde Notizen und Aufgaben verdoppeln. */}
-        {!isEdit && templates.length > 0 ? (
-          <div className="glass-soft p-4">
-            <label className="field-label" htmlFor="project-template">
-              Aus Vorlage
-            </label>
-            <div className="flex flex-wrap items-center gap-2">
-              <select
-                id="project-template"
-                className="field w-auto min-w-[14rem] flex-1"
-                value={form.templateId}
-                onChange={(event) => applyTemplate(event.target.value)}
-              >
-                <option value="">– ohne Vorlage –</option>
-                {templates.map((template) => (
-                  <option key={template.id} value={template.id}>
-                    {template.name}
-                  </option>
-                ))}
-              </select>
-              {gewaehlteVorlage ? (
-                <button
-                  type="button"
-                  className="btn btn-ghost px-2.5 py-1.5 text-xs text-rose-200"
-                  onClick={() => removeTemplate(gewaehlteVorlage)}
-                  title="Diese Vorlage loeschen"
-                >
-                  <Trash2 className="h-3.5 w-3.5" />
-                </button>
-              ) : null}
-            </div>
-            {gewaehlteVorlage ? (
-              <p className="mt-1.5 text-xs text-slate-500">
-                {gewaehlteVorlage.description ? `${gewaehlteVorlage.description} · ` : ""}
-                {beschreibeVorlage(gewaehlteVorlage)}
-              </p>
-            ) : (
-              <p className="mt-1.5 text-xs text-slate-500">
-                Vorlagen entstehen aus einem bestehenden Projekt – im Projektkopf unter
-                „Als Vorlage sichern“.
-              </p>
-            )}
-          </div>
-        ) : null}
-
         <div className="grid gap-4 sm:grid-cols-2">
           <div className="sm:col-span-2">
             <label className="field-label" htmlFor="project-name">
@@ -435,25 +291,9 @@ export function ProjectDialog({ open, onClose, connections, project }: ProjectDi
               step={5}
               value={form.progress}
               onChange={(event) => update("progress", Number(event.target.value))}
-              disabled={form.progressFromTasks}
-              className={cn("range", form.progressFromTasks && "cursor-not-allowed opacity-40")}
+              className="range"
               style={{ "--fill": `${form.progress}%` } as React.CSSProperties}
             />
-            <label className="mt-2 flex cursor-pointer items-start gap-2.5 text-sm text-slate-400">
-              <input
-                type="checkbox"
-                checked={form.progressFromTasks}
-                onChange={(event) => update("progressFromTasks", event.target.checked)}
-                className="mt-0.5 h-4 w-4 accent-violet-500"
-              />
-              <span>
-                Aus Aufgaben berechnen
-                <span className="mt-0.5 block text-[11px] text-slate-600">
-                  Der Fortschritt ergibt sich dann aus dem Anteil erledigter Aufgaben und
-                  laesst sich nicht mehr von Hand schieben.
-                </span>
-              </span>
-            </label>
           </div>
 
           <div className="sm:col-span-2">

src/components/ProjectHeader.tsx

@@ -5,9 +5,7 @@ import { useRouter } from "next/navigation";
 import Link from "next/link";
 import {
   ArrowLeft,
-  BookmarkPlus,
   CalendarDays,
-  CheckSquare,
   Download,
   ExternalLink,
   FileJson,
@@ -18,10 +16,8 @@ import {
   Trash2,
 } from "lucide-react";
 import { ProjectDialog } from "@/components/ProjectDialog";
-import { SaveTemplateDialog } from "@/components/SaveTemplateDialog";
 import { StatusSelect } from "@/components/StatusSelect";
 import { Popover } from "@/components/ui/Popover";
-import { repoTitle } from "@/lib/git/meta";
 import { PRIORITY_META, accentOf } from "@/lib/status";
 import { cn, formatDate } from "@/lib/utils";
 import type { ConnectionSafe, ProjectDetail } from "@/types";
@@ -38,7 +34,6 @@ export function ProjectHeader({
   const priority = PRIORITY_META[project.priority] ?? PRIORITY_META[2];
 
   const [editOpen, setEditOpen] = useState(false);
-  const [templateOpen, setTemplateOpen] = useState(false);
   const [exportOpen, setExportOpen] = useState(false);
   const exportButtonRef = useRef<HTMLButtonElement>(null);
   const [favorite, setFavorite] = useState(project.favorite);
@@ -136,22 +131,24 @@ export function ProjectHeader({
               angelegt {formatDate(project.createdAt)}
             </span>
             <span style={{ color: priority.color }}>Prioritaet: {priority.label}</span>
-            {/* Alle Repositories verlinken – bei einem einzigen sieht das aus
-                wie vorher, bei mehreren steht jedes fuer sich. */}
-            {project.repositories
-              .filter((repository) => repository.repoUrl)
-              .map((repository) => (
+            {project.connection ? (
+              <span className="inline-flex items-center gap-1.5">
+                {project.connection.name}
+                <span className="text-slate-700">·</span>
+                {project.connection.provider}
+              </span>
+            ) : null}
+            {project.repoUrl ? (
               <a
-                  key={repository.id}
-                  href={repository.repoUrl!}
+                href={project.repoUrl}
                 target="_blank"
                 rel="noreferrer noopener"
                 className="inline-flex items-center gap-1.5 text-violet-300 transition-colors hover:text-violet-200"
               >
-                  {project.repositories.length === 1 ? "Repository" : repoTitle(repository)}
+                Repository
                 <ExternalLink className="h-3 w-3" />
               </a>
-              ))}
+            ) : null}
           </div>
 
           {project.tags.length > 0 ? (
@@ -182,14 +179,6 @@ export function ProjectHeader({
             >
               <Download className="h-3.5 w-3.5" />
             </button>
-            <button
-              type="button"
-              className="btn btn-ghost px-2.5 py-1.5 text-xs"
-              onClick={() => setTemplateOpen(true)}
-              title="Als Vorlage sichern"
-            >
-              <BookmarkPlus className="h-3.5 w-3.5" />
-            </button>
             <button
               type="button"
               className="btn btn-ghost px-3 py-1.5 text-xs"
@@ -218,15 +207,7 @@ export function ProjectHeader({
       {/* Fortschritt direkt regelbar */}
       <div className="mt-6">
         <div className="mb-2 flex items-center justify-between text-xs text-slate-500">
-          <span className="flex items-center gap-1.5">
-            Fortschritt
-            {project.progressFromTasks ? (
-              <span className="inline-flex items-center gap-1 rounded bg-white/6 px-1.5 py-0.5 text-[10px] text-slate-400">
-                <CheckSquare className="h-2.5 w-2.5" />
-                aus Aufgaben
-              </span>
-            ) : null}
-          </span>
+          <span>Fortschritt</span>
           <span className="tabular-nums text-slate-300">{progress}%</span>
         </div>
         {/* Eigener Regler statt eines unsichtbaren Eingabefelds ueber einem
@@ -242,11 +223,7 @@ export function ProjectHeader({
           onTouchEnd={() => patch({ progress })}
           onKeyUp={() => patch({ progress })}
           aria-label="Fortschritt anpassen"
-          // Wird der Wert aus Aufgaben abgeleitet, waere ein Zug hier
-          // wirkungslos – er wuerde beim naechsten Aufgabenwechsel wieder
-          // ueberschrieben.
-          disabled={project.progressFromTasks}
-          className={cn("range", project.progressFromTasks && "cursor-not-allowed opacity-50")}
+          className="range"
           style={{ "--fill": `${progress}%` } as React.CSSProperties}
         />
       </div>
@@ -295,16 +272,6 @@ export function ProjectHeader({
         connections={connections}
         project={project}
       />
-
-      <SaveTemplateDialog
-        open={templateOpen}
-        onClose={() => setTemplateOpen(false)}
-        projectId={project.id}
-        projectName={project.name}
-        noteCount={project.notes.length}
-        // Erledigte kommen nicht mit – hier steht, was wirklich uebernommen wird.
-        taskCount={project.tasks.filter((task) => task.status !== "DONE").length}
-      />
     </header>
   );
 }

src/components/ReadmePanel.tsx

@@ -1,86 +0,0 @@
-"use client";
-
-import { useState } from "react";
-import { BookOpen, ChevronDown, ExternalLink } from "lucide-react";
-import { Markdown } from "@/components/Markdown";
-import { cn } from "@/lib/utils";
-
-/**
- * Das README des verknuepften Repositories.
- *
- * Erspart den Wechsel ins Git, nur um zu sehen, worum ein halbvergessenes
- * Projekt eigentlich ging. Nicht zum Lesen ganzer Handbuecher gedacht:
- * eingeklappt zeigt es die ersten Zeilen, ausgeklappt alles.
- */
-export function ReadmePanel({
-  content,
-  path,
-  baseUrl,
-  fileUrl,
-}: {
-  content: string;
-  path: string | null;
-  baseUrl: string | null;
-  /** Direktlink auf die Datei im Git-System. */
-  fileUrl: string | null;
-}) {
-  const [offen, setOffen] = useState(false);
-
-  // Kurze READMEs vollstaendig zu zeigen ist einfacher, als sie mit einem
-  // Knopf zu versehen, der nichts freigibt.
-  const kurz = content.length < 900;
-
-  return (
-    <section className="glass p-5">
-      <div className="mb-3 flex flex-wrap items-center justify-between gap-2">
-        <h2 className="flex items-center gap-2 text-sm font-semibold uppercase tracking-wider text-slate-300">
-          <BookOpen className="h-4 w-4 text-cyan-300" />
-          {path ?? "README"}
-        </h2>
-        {fileUrl ? (
-          <a
-            href={fileUrl}
-            target="_blank"
-            rel="noreferrer noopener"
-            className="inline-flex items-center gap-1.5 text-xs text-slate-500 transition-colors hover:text-violet-300"
-          >
-            Im Git öffnen
-            <ExternalLink className="h-3 w-3" />
-          </a>
-        ) : null}
-      </div>
-
-      <div className="relative">
-        <div
-          className={cn(
-            "overflow-hidden transition-[max-height] duration-300",
-            !kurz && !offen && "max-h-72",
-          )}
-        >
-          <Markdown baseUrl={baseUrl}>{content}</Markdown>
-        </div>
-
-        {/* Verlauf ueber den abgeschnittenen Rand, damit erkennbar ist, dass
-            es weitergeht. Nur wenn wirklich etwas verdeckt wird. */}
-        {!kurz && !offen ? (
-          <div
-            aria-hidden
-            className="pointer-events-none absolute inset-x-0 bottom-0 h-16 bg-gradient-to-t from-[#0b0d1c] to-transparent"
-          />
-        ) : null}
-      </div>
-
-      {!kurz ? (
-        <button
-          type="button"
-          onClick={() => setOffen((wert) => !wert)}
-          className="btn btn-ghost mt-2 w-full text-xs"
-          aria-expanded={offen}
-        >
-          <ChevronDown className={cn("h-3.5 w-3.5 transition-transform", offen && "rotate-180")} />
-          {offen ? "Weniger" : "Ganzes README anzeigen"}
-        </button>
-      ) : null}
-    </section>
-  );
-}

src/components/RepositoryDialog.tsx

@@ -1,334 +0,0 @@
-"use client";
-
-import { useEffect, useMemo, useState } from "react";
-import { useRouter } from "next/navigation";
-import { Loader2, RefreshCw, Search } from "lucide-react";
-import { Modal } from "@/components/ui/Modal";
-import type { ConnectionSafe, RepoListEntry, RepositoryWithSnapshot } from "@/types";
-
-/**
- * Ein weiteres Repository mit einem Projekt verknuepfen – oder ein
- * vorhandenes umbenennen und umhaengen.
- *
- * Beim Anlegen des Projekts genuegt der Projektdialog: dort setzen die
- * Git-Felder das erste Repository. Alles darueber hinaus laeuft hier.
- */
-
-interface FormState {
-  label: string;
-  connectionId: string;
-  repoUrl: string;
-  repoOwner: string;
-  repoName: string;
-  autoSync: boolean;
-}
-
-const EMPTY: FormState = {
-  label: "",
-  connectionId: "",
-  repoUrl: "",
-  repoOwner: "",
-  repoName: "",
-  autoSync: true,
-};
-
-export function RepositoryDialog({
-  open,
-  onClose,
-  projectId,
-  connections,
-  repository,
-}: {
-  open: boolean;
-  onClose: () => void;
-  projectId: string;
-  connections: ConnectionSafe[];
-  /** Vorhandenes = Bearbeiten, sonst Verknuepfen. */
-  repository?: RepositoryWithSnapshot | null;
-}) {
-  const router = useRouter();
-  const [form, setForm] = useState<FormState>(EMPTY);
-  const [saving, setSaving] = useState(false);
-  const [error, setError] = useState<string | null>(null);
-
-  const [repos, setRepos] = useState<RepoListEntry[]>([]);
-  const [pickerOpen, setPickerOpen] = useState(false);
-  const [loading, setLoading] = useState(false);
-  const [filter, setFilter] = useState("");
-
-  const isEdit = Boolean(repository);
-
-  useEffect(() => {
-    if (!open) return;
-    setError(null);
-    setPickerOpen(false);
-    setRepos([]);
-    setFilter("");
-    setForm(
-      repository
-        ? {
-            label: repository.label ?? "",
-            connectionId: repository.connectionId ?? "",
-            repoUrl: repository.repoUrl ?? "",
-            repoOwner: repository.repoOwner ?? "",
-            repoName: repository.repoName ?? "",
-            autoSync: repository.autoSync,
-          }
-        : EMPTY,
-    );
-  }, [open, repository]);
-
-  const gefiltert = useMemo(() => {
-    const needle = filter.toLowerCase().trim();
-    if (!needle) return repos.slice(0, 60);
-    return repos.filter((repo) => repo.fullPath.toLowerCase().includes(needle)).slice(0, 60);
-  }, [repos, filter]);
-
-  function update<K extends keyof FormState>(key: K, value: FormState[K]) {
-    setForm((previous) => ({ ...previous, [key]: value }));
-  }
-
-  async function loadRepos() {
-    if (!form.connectionId) {
-      setError("Bitte zuerst eine Git-Verbindung auswaehlen.");
-      return;
-    }
-    setLoading(true);
-    setError(null);
-    try {
-      const response = await fetch(`/api/connections/${form.connectionId}/repos`);
-      const payload = await response.json();
-      if (!response.ok) throw new Error(payload.error ?? "Repos konnten nicht geladen werden.");
-      setRepos(payload.repos ?? []);
-      setPickerOpen(true);
-    } catch (caught) {
-      setError(caught instanceof Error ? caught.message : String(caught));
-    } finally {
-      setLoading(false);
-    }
-  }
-
-  function pick(repo: RepoListEntry) {
-    setForm((previous) => ({
-      ...previous,
-      repoUrl: repo.htmlUrl,
-      repoOwner: repo.owner,
-      repoName: repo.name,
-    }));
-    setPickerOpen(false);
-  }
-
-  async function submit(event: React.FormEvent) {
-    event.preventDefault();
-    setSaving(true);
-    setError(null);
-    try {
-      const response = await fetch(
-        isEdit ? `/api/repositories/${repository?.id}` : `/api/projects/${projectId}/repositories`,
-        {
-          method: isEdit ? "PATCH" : "POST",
-          headers: { "Content-Type": "application/json" },
-          body: JSON.stringify({
-            label: form.label,
-            connectionId: form.connectionId || null,
-            repoUrl: form.repoUrl,
-            repoOwner: form.repoOwner,
-            repoName: form.repoName,
-            autoSync: form.autoSync,
-          }),
-        },
-      );
-      const payload = await response.json().catch(() => ({}));
-      if (!response.ok) throw new Error(payload.error ?? "Speichern fehlgeschlagen.");
-      onClose();
-      router.refresh();
-    } catch (caught) {
-      setError(caught instanceof Error ? caught.message : String(caught));
-    } finally {
-      setSaving(false);
-    }
-  }
-
-  return (
-    <Modal
-      open={open}
-      onClose={onClose}
-      width="lg"
-      title={isEdit ? "Repository bearbeiten" : "Repository verknuepfen"}
-      description={
-        isEdit
-          ? "Zeigt das Repository woandershin, wird der geholte Stand verworfen."
-          : "Ein Projekt darf mehrere Repositories haben – etwa Frontend und Backend."
-      }
-    >
-      <form onSubmit={submit} className="space-y-5">
-        <div className="grid gap-4 sm:grid-cols-2">
-          <div className="sm:col-span-2">
-            <label className="field-label" htmlFor="repo-label">
-              Bezeichnung (optional)
-            </label>
-            <input
-              id="repo-label"
-              className="field"
-              value={form.label}
-              onChange={(event) => update("label", event.target.value)}
-              placeholder="Frontend"
-              maxLength={80}
-            />
-            <p className="mt-1 text-xs text-slate-500">
-              Ohne Angabe steht schlicht owner/name da.
-            </p>
-          </div>
-
-          <div>
-            <label className="field-label" htmlFor="repo-connection">
-              Verbindung
-            </label>
-            <select
-              id="repo-connection"
-              className="field"
-              value={form.connectionId}
-              onChange={(event) => update("connectionId", event.target.value)}
-            >
-              <option value="">– keine –</option>
-              {connections.map((connection) => (
-                <option key={connection.id} value={connection.id}>
-                  {connection.name} ({connection.provider})
-                </option>
-              ))}
-            </select>
-          </div>
-
-          <div className="flex items-end">
-            <button
-              type="button"
-              className="btn btn-ghost w-full"
-              onClick={loadRepos}
-              disabled={loading || !form.connectionId}
-            >
-              {loading ? (
-                <Loader2 className="h-3.5 w-3.5 animate-spin" />
-              ) : (
-                <RefreshCw className="h-3.5 w-3.5" />
-              )}
-              Repos laden
-            </button>
-          </div>
-
-          <div className="sm:col-span-2">
-            <label className="field-label" htmlFor="repo-url">
-              Repository-URL
-            </label>
-            <input
-              id="repo-url"
-              className="field"
-              value={form.repoUrl}
-              onChange={(event) => update("repoUrl", event.target.value)}
-              placeholder="https://github.com/user/repo"
-            />
-          </div>
-
-          <div>
-            <label className="field-label" htmlFor="repo-owner">
-              Owner / Gruppe
-            </label>
-            <input
-              id="repo-owner"
-              className="field font-mono text-xs"
-              value={form.repoOwner}
-              onChange={(event) => update("repoOwner", event.target.value)}
-              placeholder="wird aus der URL abgeleitet"
-            />
-          </div>
-
-          <div>
-            <label className="field-label" htmlFor="repo-name">
-              Repository
-            </label>
-            <input
-              id="repo-name"
-              className="field font-mono text-xs"
-              value={form.repoName}
-              onChange={(event) => update("repoName", event.target.value)}
-              placeholder="wird aus der URL abgeleitet"
-            />
-          </div>
-        </div>
-
-        <label className="flex cursor-pointer items-start gap-2.5 text-sm text-slate-400">
-          <input
-            type="checkbox"
-            checked={form.autoSync}
-            onChange={(event) => update("autoSync", event.target.checked)}
-            className="mt-0.5 h-4 w-4 accent-violet-500"
-          />
-          <span>
-            Am automatischen Abgleich teilnehmen
-            <span className="mt-0.5 block text-[11px] text-slate-600">
-              Wirkt nur, wenn der Abgleich im Adminbereich eingeschaltet ist. Manuell
-              synchronisieren geht unabhaengig davon immer.
-            </span>
-          </span>
-        </label>
-
-        {pickerOpen ? (
-          <div className="rounded-xl border border-white/8 bg-[#080a18]/70">
-            <div className="flex items-center gap-2 border-b border-white/6 px-3 py-2">
-              <Search className="h-3.5 w-3.5 text-slate-500" />
-              <input
-                className="w-full bg-transparent text-sm text-slate-200 outline-none placeholder:text-slate-600"
-                placeholder={`${repos.length} Repositories durchsuchen…`}
-                value={filter}
-                onChange={(event) => setFilter(event.target.value)}
-              />
-            </div>
-            <ul className="max-h-56 overflow-y-auto p-1">
-              {gefiltert.map((repo) => (
-                <li key={repo.fullPath}>
-                  <button
-                    type="button"
-                    onClick={() => pick(repo)}
-                    className="flex w-full items-center justify-between gap-3 rounded-lg px-2.5 py-2 text-left hover:bg-white/6"
-                  >
-                    <span className="min-w-0">
-                      <span className="block truncate font-mono text-xs text-slate-200">
-                        {repo.fullPath}
-                      </span>
-                      {repo.description ? (
-                        <span className="block truncate text-[11px] text-slate-500">
-                          {repo.description}
-                        </span>
-                      ) : null}
-                    </span>
-                    <span className="shrink-0 text-[10px] uppercase text-slate-600">
-                      {repo.visibility}
-                    </span>
-                  </button>
-                </li>
-              ))}
-              {gefiltert.length === 0 ? (
-                <li className="px-3 py-4 text-center text-xs text-slate-500">Keine Treffer.</li>
-              ) : null}
-            </ul>
-          </div>
-        ) : null}
-
-        {error ? (
-          <p className="rounded-lg border border-rose-500/30 bg-rose-500/10 px-3 py-2 text-sm text-rose-200">
-            {error}
-          </p>
-        ) : null}
-
-        <div className="flex justify-end gap-3 pt-1">
-          <button type="button" className="btn btn-ghost" onClick={onClose}>
-            Abbrechen
-          </button>
-          <button type="submit" className="btn btn-primary" disabled={saving}>
-            {saving ? <Loader2 className="h-4 w-4 animate-spin" /> : null}
-            {isEdit ? "Speichern" : "Verknuepfen"}
-          </button>
-        </div>
-      </form>
-    </Modal>
-  );
-}

src/components/SaveTemplateDialog.tsx

@@ -1,174 +0,0 @@
-"use client";
-
-import { useEffect, useState } from "react";
-import { BookmarkPlus, Check, Loader2 } from "lucide-react";
-import { Modal } from "@/components/ui/Modal";
-
-/**
- * Aus dem offenen Projekt eine Vorlage machen.
- *
- * Bewusst hier und nicht in einer eigenen Verwaltungsseite: Vorlagen
- * entstehen aus einem Projekt, das sich bewaehrt hat. Sie von Grund auf zu
- * tippen kann man ueber die API, taeglich braucht das niemand.
- */
-export function SaveTemplateDialog({
-  open,
-  onClose,
-  projectId,
-  projectName,
-  noteCount,
-  taskCount,
-}: {
-  open: boolean;
-  onClose: () => void;
-  projectId: string;
-  projectName: string;
-  noteCount: number;
-  taskCount: number;
-}) {
-  const [name, setName] = useState("");
-  const [description, setDescription] = useState("");
-  const [withNotes, setWithNotes] = useState(true);
-  const [withTasks, setWithTasks] = useState(true);
-  const [saving, setSaving] = useState(false);
-  const [error, setError] = useState<string | null>(null);
-  const [done, setDone] = useState(false);
-
-  useEffect(() => {
-    if (!open) return;
-    setName(projectName);
-    setDescription("");
-    setWithNotes(true);
-    setWithTasks(true);
-    setError(null);
-    setDone(false);
-  }, [open, projectName]);
-
-  async function submit(event: React.FormEvent) {
-    event.preventDefault();
-    setSaving(true);
-    setError(null);
-    try {
-      const response = await fetch("/api/templates/from-project", {
-        method: "POST",
-        headers: { "Content-Type": "application/json" },
-        body: JSON.stringify({ projectId, name, description, withNotes, withTasks }),
-      });
-      const payload = await response.json().catch(() => ({}));
-      if (!response.ok) throw new Error(payload.error ?? "Speichern fehlgeschlagen.");
-      setDone(true);
-      // Kurz stehen lassen, damit die Bestaetigung ankommt.
-      setTimeout(onClose, 900);
-    } catch (caught) {
-      setError(caught instanceof Error ? caught.message : String(caught));
-    } finally {
-      setSaving(false);
-    }
-  }
-
-  return (
-    <Modal
-      open={open}
-      onClose={onClose}
-      width="md"
-      title="Als Vorlage sichern"
-      description="Neue Projekte starten damit mit denselben Tags, Notizen und Aufgaben."
-    >
-      <form onSubmit={submit} className="space-y-4">
-        <div>
-          <label className="field-label" htmlFor="template-name">
-            Name der Vorlage *
-          </label>
-          <input
-            id="template-name"
-            className="field"
-            value={name}
-            onChange={(event) => setName(event.target.value)}
-            maxLength={80}
-            required
-            autoFocus
-          />
-        </div>
-
-        <div>
-          <label className="field-label" htmlFor="template-description">
-            Wofür ist sie gut? (optional)
-          </label>
-          <input
-            id="template-description"
-            className="field"
-            value={description}
-            onChange={(event) => setDescription(event.target.value)}
-            placeholder="z. B. Kleine Web-App mit Docker und CI"
-            maxLength={280}
-          />
-        </div>
-
-        <div className="space-y-2">
-          <label className="flex cursor-pointer items-start gap-2.5 text-sm text-slate-400">
-            <input
-              type="checkbox"
-              checked={withNotes}
-              onChange={(event) => setWithNotes(event.target.checked)}
-              disabled={noteCount === 0}
-              className="mt-0.5 h-4 w-4 accent-violet-500"
-            />
-            <span>
-              Notizen übernehmen
-              <span className="mt-0.5 block text-[11px] text-slate-600">
-                {noteCount === 0
-                  ? "Dieses Projekt hat keine Notizen."
-                  : `${noteCount} ${noteCount === 1 ? "Notiz" : "Notizen"}`}
-              </span>
-            </span>
-          </label>
-
-          <label className="flex cursor-pointer items-start gap-2.5 text-sm text-slate-400">
-            <input
-              type="checkbox"
-              checked={withTasks}
-              onChange={(event) => setWithTasks(event.target.checked)}
-              disabled={taskCount === 0}
-              className="mt-0.5 h-4 w-4 accent-violet-500"
-            />
-            <span>
-              Aufgaben übernehmen
-              <span className="mt-0.5 block text-[11px] text-slate-600">
-                {taskCount === 0
-                  ? "Dieses Projekt hat keine offenen Aufgaben."
-                  : `${taskCount} offene ${taskCount === 1 ? "Aufgabe" : "Aufgaben"} — erledigte kommen nicht mit`}
-              </span>
-            </span>
-          </label>
-        </div>
-
-        <p className="rounded-lg border border-white/8 bg-black/25 px-3 py-2 text-xs text-slate-500">
-          Repositories gehen <strong>nicht</strong> mit. Eine Vorlage, die jedes neue Projekt
-          an dasselbe Repository hängt, wäre eine Falle.
-        </p>
-
-        {error ? (
-          <p className="rounded-lg border border-rose-500/30 bg-rose-500/10 px-3 py-2 text-sm text-rose-200">
-            {error}
-          </p>
-        ) : null}
-
-        <div className="flex justify-end gap-3 pt-1">
-          <button type="button" className="btn btn-ghost" onClick={onClose}>
-            Abbrechen
-          </button>
-          <button type="submit" className="btn btn-primary" disabled={saving || done}>
-            {saving ? (
-              <Loader2 className="h-4 w-4 animate-spin" />
-            ) : done ? (
-              <Check className="h-4 w-4" />
-            ) : (
-              <BookmarkPlus className="h-4 w-4" />
-            )}
-            {done ? "Gesichert" : "Sichern"}
-          </button>
-        </div>
-      </form>
-    </Modal>
-  );
-}

src/components/Sparkline.tsx

@@ -1,57 +0,0 @@
-import { cn } from "@/lib/utils";
-
-/**
- * Commit-Aktivitaet als kleine Balkenreihe.
- *
- * Bewusst als reines SVG ohne Diagrammbibliothek: es sind dreissig Werte,
- * die Achsen, Legende und Tooltips einer Bibliothek waeren hier nur Ballast.
- */
-export function Sparkline({
-  values,
-  className,
-  height = 28,
-  label = "Commits",
-}: {
-  values: number[];
-  className?: string;
-  height?: number;
-  label?: string;
-}) {
-  if (!values.length) return null;
-
-  const total = values.reduce((sum, value) => sum + value, 0);
-  if (total === 0) return null;
-
-  const max = Math.max(...values);
-  const gap = 1;
-  const barWidth = 3;
-  const width = values.length * (barWidth + gap) - gap;
-
-  return (
-    <svg
-      viewBox={`0 0 ${width} ${height}`}
-      preserveAspectRatio="none"
-      className={cn("w-full", className)}
-      style={{ height }}
-      role="img"
-      aria-label={`${label} der letzten ${values.length} Tage: insgesamt ${total}`}
-    >
-      <title>{`${label} der letzten ${values.length} Tage: insgesamt ${total}`}</title>
-      {values.map((value, index) => {
-        // Auch ein einzelner Commit soll sichtbar sein, daher die Untergrenze.
-        const barHeight = value === 0 ? 1.5 : Math.max(3, (value / max) * height);
-        return (
-          <rect
-            key={index}
-            x={index * (barWidth + gap)}
-            y={height - barHeight}
-            width={barWidth}
-            height={barHeight}
-            rx={1}
-            className={value === 0 ? "fill-white/10" : "fill-violet-400/80"}
-          />
-        );
-      })}
-    </svg>
-  );
-}

src/components/TopNav.tsx

@@ -108,9 +108,6 @@ function UserMenu({ user }: { user: SessionUser }) {
         className="flex items-center gap-2 rounded-xl border border-white/10 bg-white/4 py-1.5 pl-1.5 pr-3 text-sm text-slate-200 transition-colors hover:bg-white/8"
         aria-haspopup="menu"
         aria-expanded={open}
-        // Auf schmalen Anzeigen bleibt nur das Kuerzel sichtbar – ohne
-        // Beschriftung liest ein Screenreader dann nur zwei Buchstaben vor.
-        aria-label={`Benutzermenue fuer ${label}`}
       >
         <span className="grid h-7 w-7 place-items-center rounded-lg bg-gradient-to-br from-violet-500/80 to-cyan-400/70 text-[11px] font-semibold text-white">
           {initials}

src/components/account/AccountManager.tsx

@@ -14,7 +14,6 @@ import {
   ShieldCheck,
   Trash2,
 } from "lucide-react";
-import { TotpSection, type TotpState } from "@/components/account/TotpSection";
 import { PASSWORD_MIN_LENGTH } from "@/lib/auth/constants";
 import { cn, formatDateTime, formatRelative } from "@/lib/utils";
 
@@ -44,7 +43,6 @@ export interface AccountData {
   passkeys: PasskeyEntry[];
   sessions: SessionEntry[];
   passkeysAvailable: boolean;
-  totp: TotpState;
 }
 
 type Notice = { ok: boolean; text: string } | null;
@@ -54,7 +52,6 @@ export function AccountManager({ data }: { data: AccountData }) {
     <div className="space-y-6">
       <ProfileSection data={data} />
       <PasswordSection hasPassword={data.hasPassword} />
-      <TotpSection state={data.totp} hasPassword={data.hasPassword} />
       <PasskeySection passkeys={data.passkeys} available={data.passkeysAvailable} />
       <SessionSection sessions={data.sessions} />
     </div>