Version 2.7.2: Umlaute in der Oberflaeche, Einbindungen an der Sitzung

packages/tesm-core/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-core"
-version = "2.7.1"
+version = "2.7.2"
 description = "Gemeinsames Anwendungsgeruest (Auth, RBAC, Navigation, Design-System, Migrationen) fuer TESM und TESM-Lizenzserver"
 requires-python = ">=3.11"
 dependencies = [

packages/tesm-core/src/tesm_core/app_factory.py

@@ -59,7 +59,7 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         30,
         "int",
         "Aufbewahrung im Papierkorb (Tage)",
-        hint="Nach dieser Frist werden Eintraege beim naechsten Aufruf endgueltig entfernt.",
+        hint="Nach dieser Frist werden Einträge beim nächsten Aufruf endgültig entfernt.",
         section="system",
         minimum=1,
         maximum=3650,
@@ -68,8 +68,8 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         "session_absolute_hours",
         12,
         "int",
-        "Laengstmoegliche Sitzungsdauer (Stunden)",
-        hint="Danach ist Schluss, auch bei staendiger Arbeit -- eine Sitzung soll nicht "
+        "Längstmögliche Sitzungsdauer (Stunden)",
+        hint="Danach ist Schluss, auch bei ständiger Arbeit – eine Sitzung soll nicht "
         "ewig leben. Die eingebundenen Dateifreigaben enden mit ihr.",
         section="system",
         minimum=1,
@@ -80,8 +80,8 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         30,
         "int",
         "Automatische Abmeldung nach Leerlauf (Minuten)",
-        hint="Jede Anfrage setzt den Zaehler zurueck -- gezaehlt wird nur Untaetigkeit. "
-        "Gilt auch fuer die eingebundenen Dateifreigaben: mit der Sitzung endet die "
+        hint="Jede Anfrage setzt den Zähler zurück – gezählt wird nur Untätigkeit. "
+        "Gilt auch für die eingebundenen Dateifreigaben: mit der Sitzung endet die "
         "Einbindung.",
         section="system",
         minimum=5,
@@ -114,8 +114,8 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
     SettingSpec("web_hsts_enabled", False, "bool", "HSTS senden", section="web"),
     SettingSpec("web_redirect_http", True, "bool", "HTTP auf HTTPS umleiten", section="web"),
     SettingSpec("web_cert_path", "", "str", "Zertifikat (Pfad)", section="web"),
-    SettingSpec("web_key_path", "", "str", "Privater Schluessel (Pfad)", section="web"),
-    SettingSpec("web_acme_email", "", "str", "E-Mail fuer Let's Encrypt", section="web"),
+    SettingSpec("web_key_path", "", "str", "Privater Schlüssel (Pfad)", section="web"),
+    SettingSpec("web_acme_email", "", "str", "E-Mail für Let's Encrypt", section="web"),
     SettingSpec("web_acme_webroot", "", "str", "ACME-Webroot", section="web"),
     # Abweichende Ports braucht nur eine Testinstanz neben der Produktion --
     # im Regelbetrieb bleibt es bei 80 und 443.
@@ -126,7 +126,7 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
         "web_https_port", 443, "int", "HTTPS-Port", section="web", minimum=1, maximum=65535
     ),
     SettingSpec(
-        "web_max_body_mb", 128, "int", "Maximale Anfragegroesse (MB)", section="web",
+        "web_max_body_mb", 128, "int", "Maximale Anfragegröße (MB)", section="web",
         minimum=1, maximum=8192,
     ),
     *directory.SETTINGS,
@@ -148,7 +148,7 @@ def create_base_app(
     #: Wortmarke, ohne Zeile darunter; die Marke selbst zeigen beide
     #: Anwendungen.
     auth_tagline: str = "",
-    app_version: str = "2.7.1",
+    app_version: str = "2.7.2",
     built_in_trusted_keys: tuple[str, ...] = (),
     enable_license: bool = True,
     template_folder: str | None = None,
@@ -160,6 +160,10 @@ def create_base_app(
         static_folder=static_folder or "static",
         static_url_path="/assets",
     )
+    # Umlaute bleiben Umlaute -- auch in JSON. Flask wuerde sonst nach ASCII
+    # ausweichen ("ü"), und genau darin stehen die Flash-Meldungen in der
+    # Seite: eine Meldung mit "ue" war lesbar, eine mit "ü" wurde zu Zahlen.
+    app.json.ensure_ascii = False
 
     # Templates und Design-System des Kerns liegen im Paket ``tesm_core`` und
     # werden ueber einen eigenen Blueprint bereitgestellt. Dadurch kann jede
@@ -374,8 +378,8 @@ def create_base_app(
             # sehen. Vorher stand hier nur der nackte Status.
             grenze = uploads.limit_mb()
             error.description = (
-                f"Diese Datei ist groesser als erlaubt. Zurzeit sind {grenze} MB je Upload "
-                "eingestellt; aendern kann das ein Administrator unter "
+                f"Diese Datei ist größer als erlaubt. Zurzeit sind {grenze} MB je Upload "
+                "eingestellt; ändern kann das ein Administrator unter "
                 '"Einstellungen -> Webserver und TLS".'
             )
         if _wants_json():

packages/tesm-core/src/tesm_core/audit.py

@@ -133,14 +133,14 @@ def verify_chain(conn: sqlite3.Connection, *, limit: int | None = None) -> dict[
                 "ok": False,
                 "checked": checked,
                 "broken_at": data["id"],
-                "reason": "Vorgaenger-Hash passt nicht -- eine Zeile wurde entfernt oder eingefuegt.",
+                "reason": "Vorgänger-Hash passt nicht – eine Zeile wurde entfernt oder eingefügt.",
             }
         if compute_hash(str(data["prev_hash"]), data) != data["hash"]:
             return {
                 "ok": False,
                 "checked": checked,
                 "broken_at": data["id"],
-                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash -- Eintrag geaendert.",
+                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash | Eintrag geändert.",
             }
         expected_prev = str(data["hash"])
         checked += 1

packages/tesm-core/src/tesm_core/auth/directory.py

@@ -59,20 +59,20 @@ SETTINGS: tuple[SettingSpec, ...] = (
         section="ldap",
         choices=(("ldaps", "LDAPS (Port 636)"), ("starttls", "StartTLS (Port 389)"), ("none", "Unverschluesselt")),
     ),
-    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat pruefen", section="ldap"),
+    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat prüfen", section="ldap"),
     SettingSpec("ldap_ca_file", "", "str", "CA-Zertifikat (Pfad)", section="ldap"),
     SettingSpec(
         "ldap_allow_insecure",
         False,
         "bool",
-        "Unverschluesselte Verbindung ausdruecklich erlauben",
-        hint="Nur fuer Testumgebungen. Das Passwort geht dabei im Klartext ueber das Netz.",
+        "Unverschlüsselte Verbindung ausdrücklich erlauben",
+        hint="Nur für Testumgebungen. Das Passwort geht dabei im Klartext über das Netz.",
         section="ldap",
     ),
     SettingSpec("ldap_base_dn", "", "str", "Basis-DN (leer = automatisch)", section="ldap"),
     SettingSpec("ldap_user_attribute", "sAMAccountName", "str", "Anmeldeattribut", section="ldap"),
     SettingSpec("ldap_email_attribute", "userPrincipalName", "str", "E-Mail-Attribut", section="ldap"),
-    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis uebernehmen", section="ldap"),
+    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis übernehmen", section="ldap"),
     SettingSpec("ldap_timeout", 8, "int", "Zeitlimit (Sekunden)", section="ldap", minimum=1, maximum=60),
 )
 
@@ -123,7 +123,7 @@ def bind_credentials(conn: sqlite3.Connection) -> tuple[str, str]:
     try:
         secret = core().keystore.decrypt(encrypted, aad=AAD_LDAP_BIND)
     except Exception:  # noqa: BLE001 - Schluessel gewechselt/Datei kaputt
-        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschluesselt werden")
+        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschlüsselt werden")
         return str(row.get("username") or ""), ""
     return str(row.get("username") or ""), secret
 
@@ -182,7 +182,7 @@ def _connect(config: dict[str, Any], user: str, password: str):
     security = str(config["ldap_security"])
     if security == "none" and not config["ldap_allow_insecure"]:
         raise PermissionError(
-            "Unverschluesselte Verzeichnisverbindungen sind deaktiviert. "
+            "Unverschlüsselte Verzeichnisverbindungen sind deaktiviert. "
             "Nutzen Sie LDAPS oder StartTLS."
         )
     connection = Connection(
@@ -249,9 +249,9 @@ def authenticate(conn: sqlite3.Connection, username: str, password: str) -> Dire
     bind_user, bind_password = bind_credentials(conn)
     warnings: list[str] = []
     if str(config["ldap_security"]) == "none":
-        warnings.append("Unverschluesselte Verzeichnisverbindung in Benutzung")
+        warnings.append("Unverschlüsselte Verzeichnisverbindung in Benutzung")
     if not config["ldap_verify_cert"]:
-        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprueft")
+        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprüft")
 
     try:
         service_conn, bound = _connect(config, bind_user, bind_password)
@@ -359,7 +359,7 @@ def _resolve_groups(connection: Any, base: str, user_dn: str) -> tuple[str, ...]
         )
         return tuple(str(entry.entry_dn) for entry in connection.entries)
     except Exception as exc:  # noqa: BLE001
-        logger.warning("Gruppenaufloesung fehlgeschlagen: %s", exc)
+        logger.warning("Gruppenauflösung fehlgeschlagen: %s", exc)
         return ()
 
 

packages/tesm-core/src/tesm_core/auth/models.py

@@ -245,9 +245,9 @@ def _bitte_bestaetigen(permission: str) -> Any:
     if is_automatic(request) or (
         request.accept_mimetypes.accept_json and not request.accept_mimetypes.accept_html
     ):
-        abort(403, description="Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.")
+        abort(403, description="Bitte bestätigen Sie zur Sicherheit Ihr Passwort.")
     session["_after_reauth"] = request.full_path if request.query_string else request.path
-    flash("Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.", "info")
+    flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
     return redirect(url_for("auth.reauth"))
 
 
@@ -268,7 +268,7 @@ def permission_required(*permissions: str, mode: str = "all") -> Callable[..., A
                 else current_user.has(*permissions)
             )
             if not ok:
-                return _deny("Fuer diese Seite fehlt Ihnen die Berechtigung.")
+                return _deny("Für diese Seite fehlt Ihnen die Berechtigung.")
             # Geheimnisse und Exporte verlangen eine frische Bestaetigung --
             # das steht im Rechtemodell und wird deshalb hier abgefragt, nicht
             # in jeder Route einzeln. Vorher hing es daran, dass jemand an den
@@ -318,7 +318,7 @@ def reauth_required(view: Callable[..., Any]) -> Callable[..., Any]:
             return _deny("Anmeldung erforderlich.")
         if not reauth_is_fresh():
             session["_after_reauth"] = request.full_path if request.query_string else request.path
-            flash("Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.", "info")
+            flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
             return redirect(url_for("auth.reauth"))
         return view(*args, **kwargs)
 

packages/tesm-core/src/tesm_core/auth/service.py

@@ -151,7 +151,7 @@ def authenticate(
     if ip_verdict.blocked:
         return AuthOutcome(
             "rate_limited",
-            "Zu viele Anmeldeversuche von dieser Adresse. Bitte spaeter erneut versuchen.",
+            "Zu viele Anmeldeversuche von dieser Adresse. Bitte später erneut versuchen.",
             retry_after=ip_verdict.retry_after_seconds,
         )
 
@@ -165,7 +165,7 @@ def authenticate(
     if user_verdict.blocked:
         return AuthOutcome(
             "rate_limited",
-            "Dieses Konto ist nach mehreren Fehlversuchen voruebergehend gesperrt.",
+            "Dieses Konto ist nach mehreren Fehlversuchen vorübergehend gesperrt.",
             retry_after=user_verdict.retry_after_seconds,
         )
 
@@ -248,7 +248,7 @@ def _verify_credentials(
         return AuthOutcome(
             "directory_unavailable",
             "Der Verzeichnisdienst ist derzeit nicht erreichbar. "
-            "Bitte versuchen Sie es spaeter erneut.",
+            "Bitte versuchen Sie es später erneut.",
         )
     if result.status != "ok" or result.profile is None:
         return AuthOutcome("invalid", GENERIC_FAILURE)
@@ -308,7 +308,7 @@ def complete_login(
                 actor_id=int(user_row["id"]),
                 action="auth.first_login",
                 target=str(user_row["username"]),
-                detail=f"Erste Anmeldung -- Quelle: {user_row.get('auth_source') or 'local'}",
+                detail=f"Erste Anmeldung | Quelle: {user_row.get('auth_source') or 'local'}",
                 ip=ip,
                 request_id=getattr(g, "request_id", ""),
                 severity="notice",

packages/tesm-core/src/tesm_core/cli_web.py

@@ -83,7 +83,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
             port = getattr(args, flag, None)
             if port:
                 if not 1 <= int(port) <= 65535:
-                    print(f"Ungueltiger Port: {port}", file=sys.stderr)
+                    print(f"Ungültiger Port: {port}", file=sys.stderr)
                     return 2
                 values[key] = int(port)
 
@@ -93,11 +93,11 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
 
         # -- Zertifikat --------------------------------------------------- #
         config = _config_from_settings(extension, conn)
-        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unveraendert."}
+        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unverändert."}
 
         if args.acme:
             if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                 return 2
             cert = webserver.request_certificate(
                 sysops,
@@ -118,7 +118,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
 
         if args.self_signed and not args.acme:
             if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                 return 2
             suggested = webserver.local_names()
             cert = webserver.create_self_signed(
@@ -144,7 +144,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
         if args.https:
             if not (config.cert_path and config.key_path):
                 print(
-                    "HTTPS verlangt Zertifikat und Schluessel -- bitte --self-signed "
+                    "HTTPS verlangt Zertifikat und Schlüssel – bitte --self-signed "
                     "oder --acme angeben.",
                     file=sys.stderr,
                 )
@@ -172,7 +172,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
             return 0
 
         if sysops is None or not sysops.available:
-            print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+            print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
             return 2
         result = webserver.apply_config(sysops, rendered)
         print(result["message"])
@@ -194,7 +194,7 @@ def add_web_setup(sub: Any, runner: Any) -> None:
         help="nginx und TLS einrichten (Port 80/443)",
         description=(
             "Setzt die Webserver-Einstellungen und erzeugt daraus die nginx-Site. "
-            "Die Datei wird immer vollstaendig neu geschrieben -- eine von Hand "
+            "Die Datei wird immer vollständig neu geschrieben – eine von Hand "
             "bearbeitete Site-Datei gibt es in diesem Projekt bewusst nicht."
         ),
     )
@@ -207,20 +207,20 @@ def add_web_setup(sub: Any, runner: Any) -> None:
     parser.add_argument(
         "--acme",
         action="store_true",
-        help="Zertifikat per Let's Encrypt anfordern (Domain muss oeffentlich zeigen)",
+        help="Zertifikat per Let's Encrypt anfordern (Domain muss öffentlich zeigen)",
     )
-    parser.add_argument("--domain", help="Oeffentlicher Name dieser Installation")
-    parser.add_argument("--acme-email", help="Kontaktadresse fuer Let's Encrypt")
+    parser.add_argument("--domain", help="Öffentlicher Name dieser Installation")
+    parser.add_argument("--acme-email", help="Kontaktadresse für Let's Encrypt")
     parser.add_argument("--hsts", action="store_true", help="HSTS-Header setzen")
     parser.add_argument(
         "--no-redirect",
         action="store_true",
         help="Port 80 nicht auf HTTPS umleiten (Sonderfall)",
     )
-    parser.add_argument("--max-body-mb", type=int, help="Obergrenze fuer Uploads")
+    parser.add_argument("--max-body-mb", type=int, help="Obergrenze für Uploads")
     parser.add_argument("--http-port", type=int, help="Abweichender HTTP-Port (Standard 80)")
     parser.add_argument("--https-port", type=int, help="Abweichender HTTPS-Port (Standard 443)")
-    parser.add_argument("--apply", action="store_true", help="nginx schreiben, pruefen, neu laden")
+    parser.add_argument("--apply", action="store_true", help="nginx schreiben, prüfen, neu laden")
     parser.add_argument(
         "--print-config", action="store_true", help="Nur die erzeugte Datei ausgeben"
     )

packages/tesm-core/src/tesm_core/config.py

@@ -175,11 +175,11 @@ def load_core_config(
 
     bind = (_env(env_prefix, "BIND") or default_bind).strip()
     if not re.fullmatch(r"[0-9A-Za-z_.\[\]:-]{1,80}:\d{1,5}", bind):
-        raise ValueError(f"Ungueltige Bind-Adresse: {bind!r}")
+        raise ValueError(f"Ungültige Bind-Adresse: {bind!r}")
 
     site_key = (_env(env_prefix, "SITE_KEY") or app_key).strip().lower()
     if not re.fullmatch(r"[a-z0-9][a-z0-9-]{0,39}", site_key):
-        raise ValueError(f"Ungueltiger SITE_KEY: {site_key!r}")
+        raise ValueError(f"Ungültiger SITE_KEY: {site_key!r}")
 
     return CoreConfig(
         app_key=app_key,

packages/tesm-core/src/tesm_core/db.py

@@ -80,8 +80,8 @@ class Database:
         """Oeffnet eine neue Verbindung. Nicht aufrufen, solange eine Transaktion laeuft."""
         if self._depth() > 0:
             raise NestedConnectionError(
-                "Es laeuft bereits eine Schreibtransaktion auf dieser Datenbank. "
-                "Reiche die bestehende Verbindung durch, statt eine neue zu oeffnen "
+                "Es läuft bereits eine Schreibtransaktion auf dieser Datenbank. "
+                "Reiche die bestehende Verbindung durch, statt eine neue zu öffnen "
                 "(sonst blockiert SQLite sich selbst)."
             )
         return self._raw_connect()
@@ -119,6 +119,29 @@ class Database:
         finally:
             conn.close()
 
+    @contextmanager
+    def dauerhaft(self, conn: sqlite3.Connection) -> Iterator[sqlite3.Connection]:
+        """Fuer Schreibvorgaenge, die einen Stromausfall ueberstehen muessen.
+
+        Im Alltag laeuft die Datenbank mit ``synchronous=NORMAL``: schnell, und
+        bei einem Stromausfall gehen hoechstens die letzten Sekunden verloren --
+        die Datei bleibt heil. Fuer einen Messwert ist das genau richtig.
+
+        Fuer eine Unterschrift nicht. Dort liegt die Datei anschliessend auf der
+        Freigabe, und fehlte der Eintrag dazu, waere sie "unbekannt" statt
+        nachweisbar. Ein fsync kostet ein paar Millisekunden -- bei ein paar
+        Unterschriften am Tag ist das keine Diskussion wert.
+
+        Umschliesst die Transaktion, nicht umgekehrt: ``PRAGMA synchronous``
+        wirkt auf den naechsten Commit, und gesetzt werden kann es nur
+        ausserhalb einer laufenden Transaktion.
+        """
+        conn.execute("PRAGMA synchronous=FULL")
+        try:
+            yield conn
+        finally:
+            conn.execute("PRAGMA synchronous=NORMAL")
+
     # ------------------------------------------------------------------ #
     # Transaktionen
     # ------------------------------------------------------------------ #

packages/tesm-core/src/tesm_core/extension.py

@@ -79,7 +79,7 @@ def core(app: Flask | None = None) -> TesmCore:
     try:
         return target.extensions["tesm"]  # type: ignore[return-value]
     except KeyError as exc:  # pragma: no cover - Programmierfehler
-        raise RuntimeError("tesm_core ist fuer diese Anwendung nicht initialisiert") from exc
+        raise RuntimeError("tesm_core ist für diese Anwendung nicht initialisiert") from exc
 
 
 def db() -> sqlite3.Connection:

packages/tesm-core/src/tesm_core/keystore.py

@@ -78,7 +78,7 @@ def check_private_file(path: Path) -> list[str]:
     except OSError:
         return problems
     if mode & (stat.S_IRGRP | stat.S_IROTH | stat.S_IWGRP | stat.S_IWOTH):
-        problems.append(f"{path} ist fuer Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
+        problems.append(f"{path} ist für Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
     return problems
 
 
@@ -110,11 +110,11 @@ class Keystore:
                     created_at=str(entry.get("created_at", "")),
                 )
                 if len(key.material) != _KEY_BYTES:
-                    raise ValueError(f"Schluessel {key.key_id} hat die falsche Laenge")
+                    raise ValueError(f"Schlüssel {key.key_id} hat die falsche Länge")
                 self._keys[key.key_id] = key
             self._active = str(raw.get("active") or "")
             if self._active not in self._keys:
-                raise ValueError("Aktiver Schluessel fehlt im Schluesselbund")
+                raise ValueError("Aktiver Schlüssel fehlt im Schlüsselbund")
             return
         self._active = "1"
         self._keys = {
@@ -160,7 +160,7 @@ class Keystore:
     def drop_key(self, key_id: str) -> None:
         """Entfernt einen alten Schluessel -- erst nach vollstaendiger Neuverschluesselung."""
         if key_id == self._active:
-            raise ValueError("Der aktive Schluessel kann nicht entfernt werden")
+            raise ValueError("Der aktive Schlüssel kann nicht entfernt werden")
         self._keys.pop(key_id, None)
         self._persist()
 
@@ -183,14 +183,14 @@ class Keystore:
             raise DecryptionError(f"Unbekannte Chiffrat-Version: {prefix!r}")
         key = self._keys.get(key_id)
         if key is None:
-            raise DecryptionError(f"Schluessel {key_id} ist nicht im Schluesselbund")
+            raise DecryptionError(f"Schlüssel {key_id} ist nicht im Schlüsselbund")
         try:
             plain = AESGCM(key.material).decrypt(
                 _b64d(nonce_b64), _b64d(ct_b64), aad.encode("utf-8")
             )
         except (InvalidTag, ValueError) as exc:
             raise DecryptionError(
-                "Chiffrat konnte nicht entschluesselt werden (falscher Schluessel, "
+                "Chiffrat konnte nicht entschlüsselt werden (falscher Schlüssel, "
                 "manipulierte Daten oder falscher Verwendungszweck)"
             ) from exc
         return plain.decode("utf-8")

packages/tesm-core/src/tesm_core/licensing_client.py

@@ -68,10 +68,10 @@ API_PATHS = {
 #: die einzige Wahrheit -- Templates lesen sie, Routen erzwingen sie.
 LICENSED_FEATURES: dict[str, str] = {
     "directory": "Verzeichnisanmeldung (LDAP/AD) konfigurieren",
-    "nginx": "Webserver-Einstellungen aendern",
+    "nginx": "Webserver-Einstellungen ändern",
     "export": "Daten exportieren",
-    "trash_restore": "Papierkorb wiederherstellen und endgueltig loeschen",
-    "monitor_interval": "Pruefintervall der Ueberwachung aendern",
+    "trash_restore": "Papierkorb wiederherstellen und endgültig löschen",
+    "monitor_interval": "Prüfintervall der Überwachung ändern",
     "auto_poe_restart": "Automatischer PoE-Neustart bei Ausfall",
 }
 
@@ -85,7 +85,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
     """
     text = str(exc)
     if "CERTIFICATE_VERIFY_FAILED" in text or "certificate verify failed" in text:
-        detail = "Das Zertifikat konnte nicht geprueft werden"
+        detail = "Das Zertifikat konnte nicht geprüft werden"
         if "self-signed" in text or "self signed" in text:
             detail = "Der Lizenzserver benutzt ein selbstsigniertes Zertifikat"
         return (
@@ -94,7 +94,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
             "einer anerkannten Stelle."
         )
     if "Name or service not known" in text or "nodename nor servname" in text:
-        return f"Der Name im Endpunkt ({endpoint}) laesst sich nicht aufloesen."
+        return f"Der Name im Endpunkt ({endpoint}) lässt sich nicht auflösen."
     if "Connection refused" in text:
         return f"{endpoint} nimmt keine Verbindung an."
     if "timed out" in text or "timeout" in text.lower():
@@ -257,8 +257,8 @@ class LicenseManager:
     def require(self, feature: str) -> None:
         if not self.feature_allowed(feature):
             raise LicenseError(
-                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gueltige, "
-                "aktivierte Lizenz nicht moeglich."
+                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gültige, "
+                "aktivierte Lizenz nicht möglich."
             )
 
     # ------------------------------------------------------------------ #
@@ -284,7 +284,7 @@ class LicenseManager:
         try:
             payload = json.loads(text)
         except ValueError as exc:
-            raise LicenseError("Die Datei ist kein gueltiges JSON.") from exc
+            raise LicenseError("Die Datei ist kein gültiges JSON.") from exc
 
         try:
             document, client_key = lic.split_bundle(payload)
@@ -294,20 +294,20 @@ class LicenseManager:
         try:
             lic.verify_license(document)  # innere Konsistenz
         except lic.LicensingError as exc:
-            raise LicenseError(f"Die Lizenzdatei ist ungueltig: {exc}") from exc
+            raise LicenseError(f"Die Lizenzdatei ist ungültig: {exc}") from exc
 
         master_pubkey = str(document.get("master_pubkey") or "")
         known = self.trusted_keys(conn)
         if known and master_pubkey not in set(known) and not allow_new_issuer:
             raise LicenseError(
                 "Diese Lizenz wurde von einem anderen Lizenzserver ausgestellt "
-                f"(Schluessel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
-                "Wechsel des Ausstellers ausdruecklich bestaetigen."
+                f"(Schlüssel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
+                "Wechsel des Ausstellers ausdrücklich bestätigen."
             )
 
         if not client_key and not self.key_path.is_file():
             raise LicenseError(
-                "Der Datei fehlt der Client-Schluessel. Bitte das vollstaendige "
+                "Der Datei fehlt der Client-Schlüssel. Bitte das vollständige "
                 "Lizenz-Bundle des Lizenzservers verwenden."
             )
 
@@ -332,7 +332,7 @@ class LicenseManager:
                 actor=actor,
                 action="license.issuer_pinned",
                 target=lic.key_id(master_pubkey),
-                detail="Trust on first use" if not known else "Aussteller-Wechsel bestaetigt",
+                detail="Trust on first use" if not known else "Aussteller-Wechsel bestätigt",
                 severity="notice",
             )
 
@@ -397,11 +397,11 @@ class LicenseManager:
         self, action: str, *, hostname: str = "", report: dict[str, Any] | None = None
     ) -> dict[str, Any]:
         if not self._state.valid:
-            raise LicenseError("Es ist keine gueltige Lizenz installiert.")
+            raise LicenseError("Es ist keine gültige Lizenz installiert.")
         key = self.client_key()
         if not key:
             raise LicenseError(
-                "Der Client-Schluessel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
+                "Der Client-Schlüssel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
             )
         return lic.build_client_request(
             action, self._state.document, key, hostname=hostname, report=report
@@ -442,8 +442,8 @@ class LicenseManager:
                 )
         else:
             reason = (
-                "In dieser Lizenz ist kein Lizenzserver hinterlegt -- sie kann sich nur "
-                "ueber den Offline-Weg aktivieren."
+                "In dieser Lizenz ist kein Lizenzserver hinterlegt – sie kann sich nur "
+                "über den Offline-Weg aktivieren."
             )
 
         # Offline-Weg: Anfrage merken -- **mit** dem Code. Zwischen Anfrage und
@@ -475,7 +475,7 @@ class LicenseManager:
             "code": code,
             "message": (
                 (reason + " " if reason else "")
-                + "Der Offline-Weg steht offen: uebermitteln Sie den angezeigten Code an "
+                + "Der Offline-Weg steht offen: übermitteln Sie den angezeigten Code an "
                 "Ihren Ansprechpartner und tragen Sie die Antwort hier ein."
             ),
         }
@@ -527,7 +527,7 @@ class LicenseManager:
                 current_seq=current_seq,
             )
         except lic.LicensingError as exc:
-            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gueltig: {exc}") from exc
+            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gültig: {exc}") from exc
 
         status = str(response.get("status") or "")
         detail = str(response.get("detail") or "")
@@ -597,7 +597,7 @@ class LicenseManager:
                 actor=actor,
             )
             self.settings.set(conn, SETTING_HEARTBEAT_ERROR, "", actor=actor)
-            message = "Verbindung zum Lizenzserver bestaetigt."
+            message = "Verbindung zum Lizenzserver bestätigt."
 
         self.settings.set(conn, SETTING_PENDING, "", actor=actor)
         # Ein erfolgreicher Heartbeat laeuft alle paar Minuten und ist kein
@@ -648,7 +648,7 @@ class LicenseManager:
         url: str, payload: dict[str, Any], *, timeout: int, ca_pem: str = ""
     ) -> dict[str, Any]:
         if not url.startswith(("https://", "http://")):
-            raise ValueError("Ungueltiger Endpunkt")
+            raise ValueError("Ungültiger Endpunkt")
         data = json.dumps(payload).encode("utf-8")
         request = urllib.request.Request(  # noqa: S310 - Schema oben geprueft
             url,
@@ -748,7 +748,7 @@ class LicenseManager:
             }
         if not state.valid:
             return {
-                "label": "Lizenz ungueltig",
+                "label": "Lizenz ungültig",
                 "css_class": "status-pill--danger",
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
@@ -773,29 +773,29 @@ class LicenseManager:
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
                 "title": (
-                    "Die Kulanzfrist laeuft noch, Funktionen bleiben vorerst verfuegbar."
+                    "Die Kulanzfrist läuft noch, Funktionen bleiben vorerst verfügbar."
                     if status.grace_active
                     else "Lizenzpflichtige Funktionen sind abgeschaltet."
                 ),
             }
         if status.expiring_soon:
             return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                 "css_class": "status-pill--warning",
                 "dot": "1",
                 "dot_class": "status-pill__dot--pulse",
-                "title": "Bitte rechtzeitig verlaengern.",
+                "title": "Bitte rechtzeitig verlängern.",
             }
         # Zwischen der Warnschwelle und 90 Tagen: gruen, rein als Hinweis. Wer
         # eine Verlaengerung im Voraus plant, will das Datum sehen, ohne dass es
         # nach einem Problem aussieht.
         if status.days_left is not None and 0 < status.days_left <= EXPIRY_HINT_DAYS:
             return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                 "css_class": "",
                 "dot": "1",
                 "dot_class": "",
-                "title": "Nur ein Hinweis -- es ist nichts eingeschraenkt.",
+                "title": "Nur ein Hinweis – es ist nichts eingeschränkt.",
             }
         if state.last_heartbeat_at:
             try:
@@ -809,6 +809,6 @@ class LicenseManager:
                     "css_class": "status-pill--warning",
                     "dot": "1",
                     "dot_class": "",
-                    "title": "Rein informativ -- es wird nichts abgeschaltet.",
+                    "title": "Rein informativ – es wird nichts abgeschaltet.",
                 }
         return None

packages/tesm-core/src/tesm_core/logging_setup.py

@@ -94,7 +94,7 @@ def init_app(app: Flask, *, log_dir: Path, debug: bool, json_logs: bool = False)
             except OSError:
                 pass
     except OSError as exc:  # pragma: no cover - z. B. fehlende Rechte
-        root.warning("Konnte app.log nicht oeffnen: %s", exc)
+        root.warning("Konnte app.log nicht öffnen: %s", exc)
 
     # Zugriffsprotokoll separat: eine Zeile pro Anfrage, ohne Stacktraces.
     access = logging.getLogger(ACCESS_LOGGER)

packages/tesm-core/src/tesm_core/migrations.py

@@ -176,9 +176,9 @@ class MigrationRunner:
                 if record is not None:
                     if record["checksum"] != migration.checksum:
                         logger.warning(
-                            "Migration %s/%s (%s) wurde nachtraeglich geaendert "
-                            "(Pruefsumme %s != %s). Bereits angewendete Migrationen werden "
-                            "nicht erneut ausgefuehrt -- neue Aenderungen brauchen eine neue "
+                            "Migration %s/%s (%s) wurde nachträglich geändert "
+                            "(Prüfsumme %s != %s). Bereits angewendete Migrationen werden "
+                            "nicht erneut ausgeführt – neue Änderungen brauchen eine neue "
                             "Versionsnummer.",
                             component,
                             migration.version,
@@ -210,7 +210,7 @@ class MigrationRunner:
                         raise
                     logger.error(
                         "Migration %s/%s (%s) konnte wegen bestehender Altdaten nicht "
-                        "angewendet werden. Der Start laeuft weiter; die Daten muessen "
+                        "angewendet werden. Der Start läuft weiter; die Daten müssen "
                         "manuell bereinigt werden.",
                         component,
                         migration.version,

packages/tesm-core/src/tesm_core/rbac/common.py

@@ -19,7 +19,7 @@ USERS = Resource(
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Konten anlegen, sperren, Gruppen zuordnen",
     action_hints={
-        A.EDIT: "Stammdaten, Sperre und Gruppenzuordnung aendern.",
+        A.EDIT: "Stammdaten, Sperre und Gruppenzuordnung ändern.",
         A.DELETE: "Konto in den Papierkorb legen (Verzeichniskonten sofort entfernen).",
     },
 )
@@ -30,7 +30,7 @@ GROUPS = Resource(
     actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
     hint="Rechtematrix pflegen",
     action_hints={
-        A.EDIT: "Rechte vergeben -- nur Rechte, die man selbst besitzt.",
+        A.EDIT: "Rechte vergeben – nur Rechte, die man selbst besitzt.",
     },
 )
 
@@ -39,7 +39,7 @@ SETTINGS_SYSTEM = Resource(
     label="Systemeinstellungen",
     actions=(A.VIEW, A.EDIT, A.EXECUTE),
     hint="Hostname, Zeitzone, Protokollrotation, Navigation",
-    action_hints={A.EXECUTE: "Systemaktionen ausloesen (Dienste, Netzwerk uebernehmen)."},
+    action_hints={A.EXECUTE: "Systemaktionen auslösen (Dienste, Netzwerk übernehmen)."},
 )
 
 SETTINGS_LICENSE = Resource(
@@ -55,7 +55,7 @@ SETTINGS_DIRECTORY = Resource(
     actions=(A.VIEW, A.EDIT, A.EXECUTE, A.SECRETS),
     hint="Anbindung und Gruppen-Zuordnung",
     action_hints={
-        A.EXECUTE: "Verbindungstest ausfuehren.",
+        A.EXECUTE: "Verbindungstest ausführen.",
         A.SECRETS: "Bind-Passwort des Dienstkontos setzen.",
     },
 )
@@ -65,7 +65,7 @@ SETTINGS_WEB = Resource(
     label="Webserver und TLS",
     actions=(A.VIEW, A.EDIT, A.EXECUTE),
     hint="Domain, Zertifikat, HSTS",
-    action_hints={A.EXECUTE: "Konfiguration uebernehmen, Zertifikat anfordern."},
+    action_hints={A.EXECUTE: "Konfiguration übernehmen, Zertifikat anfordern."},
 )
 
 SETTINGS_NETWORK = Resource(
@@ -79,11 +79,11 @@ BACKUP = Resource(
     key="backup",
     label="Sicherung und Übertragung",
     actions=(A.VIEW, A.EXECUTE, A.EXPORT, A.SECRETS),
-    hint="Verschluesselter Export und Import",
+    hint="Verschlüsselter Export und Import",
     action_hints={
         A.EXECUTE: "Eine Sicherung einspielen.",
         A.EXPORT: "Sicherung erzeugen und herunterladen.",
-        A.SECRETS: "Zugangsdaten in die Sicherung einschliessen.",
+        A.SECRETS: "Zugangsdaten in die Sicherung einschließen.",
     },
 )
 
@@ -91,10 +91,10 @@ TRASH = Resource(
     key="trash",
     label="Papierkorb",
     actions=(A.VIEW, A.EDIT, A.DELETE),
-    hint="Geloeschtes wiederherstellen oder endgueltig entfernen",
+    hint="Gelöschtes wiederherstellen oder endgültig entfernen",
     action_hints={
-        A.EDIT: "Eintraege wiederherstellen.",
-        A.DELETE: "Eintraege endgueltig entfernen.",
+        A.EDIT: "Einträge wiederherstellen.",
+        A.DELETE: "Einträge endgültig entfernen.",
     },
 )
 
@@ -102,7 +102,7 @@ DIAGNOSTICS = Resource(
     key="diagnostics",
     label="Diagnose",
     actions=(A.VIEW,),
-    hint="Schemastand, Protokollintegritaet, Schluesselrechte",
+    hint="Schemastand, Protokollintegrität, Schlüsselrechte",
 )
 
 LOGS_LIVE = Resource(
@@ -123,7 +123,7 @@ LOGS_AUDIT = Resource(
     key="logs_audit",
     label="Änderungsprotokoll",
     actions=(A.VIEW, A.EXPORT),
-    hint="Wer hat wann was geaendert",
+    hint="Wer hat wann was geändert",
 )
 
 

packages/tesm-core/src/tesm_core/rbac/model.py

@@ -42,16 +42,16 @@ class Action(str, Enum):
 
 #: Kuerzel und Erklaerung je Aktion -- Kopfzeile der Rechtematrix.
 ACTION_META: dict[Action, tuple[str, str, str]] = {
-    Action.VIEW: ("R", "Ansehen", "Datensaetze und Seiten dieses Bereichs lesen."),
-    Action.CREATE: ("C", "Anlegen", "Neue Datensaetze erstellen."),
-    Action.EDIT: ("U", "Bearbeiten", "Bestehende Datensaetze aendern -- ohne Loeschen."),
-    Action.DELETE: ("D", "Loeschen", "Datensaetze loeschen bzw. endgueltig entfernen."),
-    Action.EXECUTE: ("X", "Ausfuehren", "Aktionen ausloesen (Neustart, Dienste, Jobs, Import)."),
+    Action.VIEW: ("R", "Ansehen", "Datensätze und Seiten dieses Bereichs lesen."),
+    Action.CREATE: ("C", "Anlegen", "Neue Datensätze erstellen."),
+    Action.EDIT: ("U", "Bearbeiten", "Bestehende Datensätze ändern – ohne Löschen."),
+    Action.DELETE: ("D", "Loeschen", "Datensätze löschen bzw. endgültig entfernen."),
+    Action.EXECUTE: ("X", "Ausfuehren", "Aktionen auslösen (Neustart, Dienste, Jobs, Import)."),
     Action.EXPORT: ("E", "Exportieren", "Daten aus dem System heraustragen (Datei-Download)."),
     Action.SECRETS: (
         "S",
         "Geheimnisse",
-        "Passwoerter und Schluessel im Klartext sehen oder mitnehmen.",
+        "Passwörter und Schlüssel im Klartext sehen oder mitnehmen.",
     ),
 }
 
@@ -132,18 +132,18 @@ class PermissionTree:
         seen_keys: set[str] = set()
         for area in self.areas:
             if area.key in seen_keys:
-                raise ValueError(f"Doppelter Bereichsschluessel: {area.key}")
+                raise ValueError(f"Doppelter Bereichsschlüssel: {area.key}")
             seen_keys.add(area.key)
             self._by_key[area.key] = area
             self._all.append(area.view_key)
             for resource in area.resources:
                 if resource.key in seen_keys:
-                    raise ValueError(f"Doppelter Ressourcenschluessel: {resource.key}")
+                    raise ValueError(f"Doppelter Ressourcenschlüssel: {resource.key}")
                 seen_keys.add(resource.key)
                 if Action.VIEW not in resource.actions:
                     raise ValueError(
-                        f"Ressource {resource.key} muss die Aktion 'view' anbieten -- "
-                        "sie ist Voraussetzung fuer jede andere Aktion."
+                        f"Ressource {resource.key} muss die Aktion 'view' anbieten – "
+                        "sie ist Voraussetzung für jede andere Aktion."
                     )
                 self._resources[resource.key] = (area, resource)
                 for permission in resource.permissions():

packages/tesm-core/src/tesm_core/rbac/service.py

@@ -132,7 +132,7 @@ def guard_no_amplification(
         labels = ", ".join(tree.label_for(p) for p in missing[:6])
         more = "" if len(missing) <= 6 else f" (und {len(missing) - 6} weitere)"
         raise PermissionDenied(
-            f"Sie koennen kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
+            f"Sie können kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
         )
 
 
@@ -160,7 +160,7 @@ def create_group(
         if existing["deleted_at"]:
             raise ValidationError(
                 f"Eine Gruppe namens {clean_name!r} liegt im Papierkorb. "
-                "Stellen Sie sie wieder her oder loeschen Sie sie endgueltig."
+                "Stellen Sie sie wieder her oder löschen Sie sie endgültig."
             )
         raise ValidationError(f"Eine Gruppe namens {clean_name!r} existiert bereits.")
 
@@ -205,7 +205,7 @@ def update_group(
 
     if name is not None and name.strip() != group.name:
         if group.is_system:
-            raise PermissionDenied("Systemgruppen koennen nicht umbenannt werden.")
+            raise PermissionDenied("Systemgruppen können nicht umbenannt werden.")
         clean = name.strip()
         if not clean:
             raise ValidationError("Der Gruppenname darf nicht leer sein.")
@@ -224,13 +224,13 @@ def update_group(
             "UPDATE groups SET description=?, updated_at=? WHERE id=?",
             (description.strip(), _now(), group_id),
         )
-        changes.append("Beschreibung geaendert")
+        changes.append("Beschreibung geändert")
 
     if permissions is not None:
         if group.is_system and not unlock_system:
             raise PermissionDenied(
                 "Die Rechte dieser Systemgruppe sind gesperrt. "
-                "Sie muessen sie zuerst ausdruecklich freischalten."
+                "Sie müssen sie zuerst ausdrücklich freischalten."
             )
         wanted = tree.sanitize(permissions)
         added = sorted(set(wanted) - set(group.permissions))
@@ -240,7 +240,7 @@ def update_group(
             _write_permissions(conn, group_id, wanted)
             conn.execute("UPDATE groups SET updated_at=? WHERE id=?", (_now(), group_id))
             if added:
-                changes.append("Rechte hinzugefuegt: " + ", ".join(tree.label_for(p) for p in added))
+                changes.append("Rechte hinzugefügt: " + ", ".join(tree.label_for(p) for p in added))
             if removed:
                 changes.append("Rechte entfernt: " + ", ".join(tree.label_for(p) for p in removed))
 
@@ -252,7 +252,7 @@ def soft_delete_group(conn: sqlite3.Connection, group_id: int) -> None:
     if group is None:
         raise ValidationError("Diese Gruppe existiert nicht.")
     if group.is_system:
-        raise PermissionDenied("Systemgruppen koennen nicht geloescht werden.")
+        raise PermissionDenied("Systemgruppen können nicht gelöscht werden.")
     conn.execute("UPDATE groups SET deleted_at=? WHERE id=?", (_now(), group_id))
 
 
@@ -410,7 +410,7 @@ def guard_target_account(actor: Any, target: dict[str, Any]) -> None:
     """Ein Administratorkonto darf nur ein echter Administrator anfassen."""
     if bool(target.get("is_admin")) and not getattr(actor, "is_admin", False):
         raise PermissionDenied(
-            "Administratorkonten koennen nur von Administratoren bearbeitet werden."
+            "Administratorkonten können nur von Administratoren bearbeitet werden."
         )
 
 
@@ -420,8 +420,8 @@ def guard_last_admin(conn: sqlite3.Connection, user_id: int, *, action: str) ->
         return
     if count_active_admins(conn, exclude_id=user_id) == 0:
         raise PermissionDenied(
-            f"{action} nicht moeglich: es muss mindestens ein entsperrtes "
-            "Administratorkonto uebrig bleiben."
+            f"{action} nicht möglich: es muss mindestens ein entsperrtes "
+            "Administratorkonto übrig bleiben."
         )
 
 
@@ -482,12 +482,12 @@ def create_user(
         if existing["deleted_at"]:
             raise ValidationError(
                 f"Der Benutzername {clean!r} liegt im Papierkorb. Stellen Sie das Konto "
-                "wieder her oder loeschen Sie es endgueltig."
+                "wieder her oder löschen Sie es endgültig."
             )
         raise ValidationError(f"Der Benutzername {clean!r} ist bereits vergeben.")
 
     if is_admin and not getattr(actor, "is_admin", False):
-        raise PermissionDenied("Nur Administratoren koennen weitere Administratoren anlegen.")
+        raise PermissionDenied("Nur Administratoren können weitere Administratoren anlegen.")
 
     if auth_source == "local":
         problems = policy.check(password, username=clean)
@@ -552,7 +552,7 @@ def update_user(
         # ueberschrieben -- die Bearbeitung waere eine Illusion.
         raise ValidationError(
             "Name und E-Mail eines Verzeichniskontos werden bei jeder Anmeldung "
-            "aus dem Verzeichnis uebernommen und koennen hier nicht geaendert werden."
+            "aus dem Verzeichnis übernommen und können hier nicht geändert werden."
         )
 
     fields: dict[str, Any] = {}
@@ -563,13 +563,13 @@ def update_user(
     ):
         if value is not None and value.strip() != str(target.get(column) or ""):
             fields[column] = value.strip()
-            changes.append(f"{column} geaendert")
+            changes.append(f"{column} geändert")
 
     if is_admin is not None and bool(is_admin) != bool(target["is_admin"]):
         if not getattr(actor, "is_admin", False):
-            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator aendern.")
+            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator ändern.")
         if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Admin-Kennzeichen nicht aendern.")
+            raise PermissionDenied("Sie können Ihr eigenes Admin-Kennzeichen nicht ändern.")
         if not is_admin:
             guard_last_admin(conn, user_id, action="Herabstufen")
         fields["is_admin"] = int(bool(is_admin))
@@ -577,7 +577,7 @@ def update_user(
 
     if is_locked is not None and bool(is_locked) != bool(target["is_locked"]):
         if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht sperren.")
+            raise PermissionDenied("Sie können Ihr eigenes Konto nicht sperren.")
         if is_locked:
             guard_last_admin(conn, user_id, action="Sperren")
         fields["is_locked"] = int(bool(is_locked))
@@ -595,7 +595,7 @@ def update_user(
         after = {int(gid) for gid in group_ids}
         if before != after:
             set_user_groups(conn, user_id, sorted(after), actor=actor, tree=tree)
-            changes.append("Gruppenzuordnung geaendert")
+            changes.append("Gruppenzuordnung geändert")
 
     return changes
 
@@ -613,7 +613,7 @@ def set_password(
         raise ValidationError("Dieses Konto existiert nicht.")
     if str(row.get("auth_source")) == "ldap":
         raise ValidationError(
-            "Verzeichniskonten haben hier kein Passwort -- es wird im Verzeichnisdienst gepflegt."
+            "Verzeichniskonten haben hier kein Passwort – es wird im Verzeichnisdienst gepflegt."
         )
     problems = policy.check(new_password, username=str(row["username"]))
     if problems:
@@ -631,7 +631,7 @@ def soft_delete_user(conn: sqlite3.Connection, user_id: int, *, actor: Any) -> s
         raise ValidationError("Dieses Konto existiert nicht (mehr).")
     guard_target_account(actor, target)
     if int(target["id"]) == int(getattr(actor, "id", 0)):
-        raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht loeschen.")
+        raise PermissionDenied("Sie können Ihr eigenes Konto nicht löschen.")
     guard_last_admin(conn, user_id, action="Loeschen")
 
     if str(target.get("auth_source")) == "ldap":

packages/tesm-core/src/tesm_core/security/csrf.py

@@ -112,7 +112,7 @@ def protect() -> None:
     if not expected or not provided:
         abort(403, description="Das Sicherheitstoken des Formulars fehlt. Bitte Seite neu laden.")
     if not hmac.compare_digest(str(expected), str(provided)):
-        abort(403, description="Das Sicherheitstoken des Formulars ist ungueltig. Bitte Seite neu laden.")
+        abort(403, description="Das Sicherheitstoken des Formulars ist ungültig. Bitte Seite neu laden.")
 
 
 def exempt(view):

packages/tesm-core/src/tesm_core/security/passwords.py

@@ -65,10 +65,10 @@ class PasswordPolicy:
         if classes < self.require_classes:
             problems.append(
                 f"Mindestens {self.require_classes} verschiedene Zeichenarten "
-                "(Klein-/Grossbuchstaben, Ziffern, Sonderzeichen)."
+                "(Klein-/Großbuchstaben, Ziffern, Sonderzeichen)."
             )
         if normalized.lower() in _FORBIDDEN:
-            problems.append("Dieses Passwort ist zu haeufig und damit unsicher.")
+            problems.append("Dieses Passwort ist zu häufig und damit unsicher.")
         if username and len(username) >= 3 and username.lower() in normalized.lower():
             problems.append("Das Passwort darf den Benutzernamen nicht enthalten.")
         if len(set(normalized)) <= 3 and normalized:

packages/tesm-core/src/tesm_core/static/tesm_core/css/components.css

@@ -1452,11 +1452,87 @@
 }
 
 /* Die gesetzte Unterschrift liegt auf der Seite -- in Prozent, damit sie beim
-   Zoomen an ihrer Stelle bleibt. */
+   Zoomen an ihrer Stelle bleibt. Sie nimmt Zeiger an: verschieben mit dem
+   Block, Groesse mit dem Griff unten rechts, entfernen mit dem Kreuz.
+   "touch-action: none" ist auf dem iPad die Bedingung dafuer, dass ein Finger
+   zieht statt die Seite zu scrollen. */
 .viewer__unterschrift {
   position: absolute;
-  pointer-events: none;
   z-index: 3;
+  cursor: grab;
+  touch-action: none;
+  container-type: inline-size;
+  border: 1px dashed transparent;
+}
+
+.viewer__unterschrift:hover,
+.viewer__unterschrift.is-fassend {
+  border-color: var(--accent);
+  cursor: grabbing;
+}
+
+.viewer__unterschrift img {
+  display: block;
+  width: 100%;
+  pointer-events: none;
+}
+
+/* Dieselbe Rechnung wie im PDF (Breite durch 18): auf dem Schirm steht, was
+   spaeter in der Datei steht. */
+/* "width: max-content": der Strich ist so lang wie der Text darunter -- so
+   wie im PDF. Waere er so breit wie der Block, zeigte die Vorschau etwas
+   anderes als die Datei. */
+.viewer__unterschrifttext {
+  font-size: 5.6cqw;
+  line-height: 1.15;
+  color: #111;
+  border-top: 1px solid rgba(0, 0, 0, 0.35);
+  padding-top: 1px;
+  pointer-events: none;
+  white-space: nowrap;
+  width: max-content;
+}
+
+.viewer__unterschriftgriff,
+.viewer__unterschriftweg {
+  position: absolute;
+  width: 16px;
+  height: 16px;
+  padding: 0;
+  border: 1px solid var(--accent);
+  border-radius: 3px;
+  background: var(--surface-1);
+  color: var(--accent);
+  font-size: 11px;
+  line-height: 1;
+  opacity: 0;
+  cursor: nwse-resize;
+}
+
+.viewer__unterschriftweg {
+  cursor: pointer;
+  top: -8px;
+  right: -8px;
+}
+
+.viewer__unterschriftgriff {
+  right: -8px;
+  bottom: -8px;
+}
+
+.viewer__unterschrift:hover .viewer__unterschriftgriff,
+.viewer__unterschrift:hover .viewer__unterschriftweg,
+.viewer__unterschrift.is-fassend .viewer__unterschriftgriff {
+  opacity: 1;
+}
+
+/* Auf einem Tastbildschirm gibt es kein "hover" -- dort stehen die Knoepfe
+   immer, sonst kaeme man nie an sie heran. */
+@media (hover: none) {
+  .viewer__unterschriftgriff,
+  .viewer__unterschriftweg {
+    opacity: 1;
+  }
 }
 
 /* -- Ergebnis der Signaturpruefung ---------------------------------------- */

packages/tesm-core/src/tesm_core/static/tesm_core/js/app.js

@@ -109,7 +109,7 @@ export function showToast(message, type = "info", { timeout = 6000 } = {}) {
   const close = document.createElement("button");
   close.type = "button";
   close.className = "toast__close";
-  close.setAttribute("aria-label", "Meldung schliessen");
+  close.setAttribute("aria-label", "Meldung schließen");
   close.textContent = "×";
   toast.append(body, close);
   toastStack.appendChild(toast);
@@ -293,7 +293,7 @@ function initConfirmations() {
       event.preventDefault();
       event.stopPropagation();
       pending = trigger;
-      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestaetigen";
+      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestätigen";
       textNode.textContent = trigger.dataset.confirm;
       okButton.textContent = trigger.dataset.confirmOk || "Fortfahren";
       okButton.className = `btn btn--${trigger.dataset.confirmStyle || "danger"}`;
@@ -497,14 +497,14 @@ function initAutoRefresh() {
       nameField.value = entry.name || "";
       dnField.value = entry.dn || "";
       results.hidden = true;
-      show(`Uebernommen: ${entry.name || entry.dn}`);
+      show(`Übernommen: ${entry.name || entry.dn}`);
     };
 
     const search = async () => {
       const term = query.value.trim();
       if (term.length < 2) { show("Bitte mindestens zwei Zeichen eingeben."); return; }
       button.disabled = true;
-      show("Suche laeuft ...");
+      show("Suche läuft ...");
       results.innerHTML = "";
       try {
         const url = `${picker.dataset.searchUrl}?q=${encodeURIComponent(term)}`;
@@ -532,10 +532,10 @@ function initAutoRefresh() {
           results.appendChild(row);
         });
         results.hidden = false;
-        show(`${entries.length} Treffer -- zum Uebernehmen anklicken.`);
+        show(`${entries.length} Treffer – zum Übernehmen anklicken.`);
       } catch (error) {
         results.hidden = true;
-        show("Die Suche ist fehlgeschlagen. Laeuft die Verbindung zum Verzeichnis?");
+        show("Die Suche ist fehlgeschlagen. Läuft die Verbindung zum Verzeichnis?");
       } finally {
         button.disabled = false;
       }
@@ -720,7 +720,7 @@ function initClipboard() {
         timeout: 2500,
       });
     } catch {
-      showToast("Kopieren nicht moeglich -- bitte manuell markieren.", "warning");
+      showToast("Kopieren nicht möglich – bitte manuell markieren.", "warning");
     }
   });
 }

packages/tesm-core/src/tesm_core/static/tesm_core/js/viewer.js

@@ -169,7 +169,7 @@ async function fotoAlsJpeg(datei) {
     const daten = await new Promise((fertig, schiefgegangen) => {
       const leser = new FileReader();
       leser.onload = () => fertig(String(leser.result));
-      leser.onerror = () => schiefgegangen(new Error("Die Datei liess sich nicht lesen."));
+      leser.onerror = () => schiefgegangen(new Error("Die Datei ließ sich nicht lesen."));
       leser.readAsDataURL(datei);
     });
     bild = await new Promise((fertig, schiefgegangen) => {
@@ -207,7 +207,7 @@ async function pdflibLaden(adresse) {
       skript.onload = () => fertig(window.PDFLib);
       skript.onerror = () => {
         pdflibGeladen = null;
-        schiefgegangen(new Error("pdf-lib liess sich nicht laden."));
+        schiefgegangen(new Error("pdf-lib ließ sich nicht laden."));
       };
       document.head.append(skript);
     });
@@ -263,7 +263,7 @@ async function nachbearbeiten(
       try {
         formular.removeField(knopf);
       } catch (fehler) {
-        console.warn("Bildknopf liess sich nicht entfernen", fehler);
+        console.warn("Bildknopf ließ sich nicht entfernen", fehler);
       }
     }
   }
@@ -279,23 +279,32 @@ async function nachbearbeiten(
       const breite = eintrag.breite;
       const hoehe = (png.height / png.width) * breite;
       seite.drawImage(png, { x: eintrag.x, y: eintrag.y, width: breite, height: hoehe });
-      const zeilen = [`${eintrag.name} -- ${eintrag.zeit}`];
+      const zeilen = [`${eintrag.name} | ${eintrag.zeit}`];
       if (zeuge) zeilen.push(`In TESM abgelegt durch ${zeuge}`);
+      // Die Schrift waechst mit der Unterschrift: wer sie kleiner zieht, will
+      // den ganzen Block kleiner haben, nicht eine Zeichnung mit einer
+      // Bildunterschrift in Originalgroesse daneben.
+      const groesse = schriftgroesse(breite);
+      // Der Strich ist so lang wie die laengste Zeile darunter -- nicht so
+      // breit wie die Zeichnung. Eine kurze Unterschrift ueber einem langen
+      // Namen sah sonst aus wie zwei Dinge, die nicht zusammengehoeren.
+      const textbreite = Math.max(
+        ...zeilen.map((zeile) => schrift.widthOfTextAtSize(zeile, groesse))
+      );
       let unten = eintrag.y - 2;
       for (const zeile of zeilen) {
-        unten -= 9;
+        unten -= groesse * 1.15;
         seite.drawText(zeile, {
           x: eintrag.x,
           y: unten,
-          size: 8,
+          size: groesse,
           font: schrift,
           color: PDFLib.rgb(0.1, 0.1, 0.1),
         });
       }
-      // Ein Strich wie auf dem Formular: er trennt Zeichnung und Klartext.
       seite.drawLine({
         start: { x: eintrag.x, y: eintrag.y - 1 },
-        end: { x: eintrag.x + breite, y: eintrag.y - 1 },
+        end: { x: eintrag.x + textbreite, y: eintrag.y - 1 },
         thickness: 0.5,
         color: PDFLib.rgb(0.4, 0.4, 0.4),
       });
@@ -310,6 +319,17 @@ async function nachbearbeiten(
   return dokument.save();
 }
 
+/** Schriftgroesse des Namenszugs unter einer Unterschrift dieser Breite.
+ *
+ * Ein Achtzehntel: bei den 150 Punkt der vollen Breite sind das gut acht
+ * Punkt -- die uebliche Groesse einer Unterschriftszeile auf Papier. Dieselbe
+ * Rechnung benutzt die Vorschau (als ``cqw``), damit auf dem Schirm steht,
+ * was spaeter im PDF steht.
+ */
+function schriftgroesse(breite) {
+  return Math.max(5, Math.min(10, breite / 18));
+}
+
 /** Die gezeichnete Unterschrift als PNG -- auf das Gezeichnete beschnitten.
  *
  * Ungeschnitten waere jede Unterschrift so gross wie die Zeichenflaeche, mit
@@ -586,8 +606,16 @@ async function pdfBetrachter(behaelter, seiten, url, basis, { formulare = true }
      bestimmt ein Tipp ins Dokument -- ein festes Feld gibt es in den wenigsten
      Vorlagen, und "unten rechts" ist bei einem Formular mit drei
      Unterschriftszeilen die falsche Annahme. */
+  // Ein menschliches Mass: rund fuenf Zentimeter breit, hoechstens knapp zwei
+  // hoch. Ohne die Hoehengrenze wird aus einem hohen Gekritzel ein Stempel,
+  // der die halbe Seite einnimmt -- das Seitenverhaeltnis kommt aus dem
+  // Zuschnitt der Zeichnung, nicht aus einer Vorlage. Nach dem Setzen laesst
+  // sich beides mit dem Griff nachstellen, nach oben bis zu dieser Grenze.
+  const MAX_BREITE = 150;
+  const MAX_HOEHE = 50;
   const unterschriften = [];
   let wartendeUnterschrift = null;
+  let zeugenzeile = () => "";
 
   const platzieren = async (event) => {
     if (!wartendeUnterschrift) return;
@@ -601,12 +629,6 @@ async function pdfBetrachter(behaelter, seiten, url, basis, { formulare = true }
     const anteilY = (event.clientY - rechteck.top) / rechteck.height;
     const seite = await dokument.getPage(nummer);
     const blick = seite.getViewport({ scale: 1 });
-    // Ein menschliches Mass: rund fuenf Zentimeter breit, hoechstens knapp
-    // zwei hoch. Ohne die Hoehengrenze wird aus einem hohen Gekritzel ein
-    // Stempel, der die halbe Seite einnimmt -- das Seitenverhaeltnis kommt ja
-    // aus dem Zuschnitt, nicht aus der Vorlage.
-    const MAX_BREITE = 150;
-    const MAX_HOEHE = 50;
     let breite = Math.min(MAX_BREITE, blick.width * 0.3);
     let hoehe = (wartendeUnterschrift.hoehe / wartendeUnterschrift.breite) * breite;
     if (hoehe > MAX_HOEHE) {
@@ -625,18 +647,96 @@ async function pdfBetrachter(behaelter, seiten, url, basis, { formulare = true }
     behaelter.classList.remove("viewer__pdfscroll--setzen");
     wartendeUnterschrift = null;
 
-    // Sichtbar machen, wo sie gelandet ist -- sonst tippt man ins Blaue.
-    const marke = document.createElement("img");
-    marke.className = "viewer__unterschrift";
-    marke.src = eintrag.vorschau;
-    marke.alt = "";
-    marke.style.left = `${(eintrag.x / blick.width) * 100}%`;
-    marke.style.bottom = `${(eintrag.y / blick.height) * 100}%`;
-    marke.style.width = `${(breite / blick.width) * 100}%`;
-    seitenEl.append(marke);
+    // Sichtbar machen, wo sie gelandet ist -- und beweglich: der erste Tipp
+    // trifft selten genau die Linie, und der Textblock gehoert mit auf die
+    // richtige Stelle.
+    marke_setzen(seitenEl, eintrag, blick, zeugenzeile());
     behaelter.dispatchEvent(new CustomEvent("unterschrieben", { detail: eintrag }));
   };
 
+  /** Baut die bewegliche Marke einer gesetzten Unterschrift. */
+  const marke_setzen = (seitenEl, eintrag, blick, zeuge) => {
+    const marke = document.createElement("div");
+    marke.className = "viewer__unterschrift";
+    const bild = document.createElement("img");
+    bild.src = eintrag.vorschau;
+    bild.alt = "";
+    const text = document.createElement("div");
+    text.className = "viewer__unterschrifttext";
+    text.textContent = `${eintrag.name} | ${eintrag.zeit}`;
+    if (zeuge) text.textContent += ` / In TESM abgelegt durch ${zeuge}`;
+    const griff = document.createElement("button");
+    griff.type = "button";
+    griff.className = "viewer__unterschriftgriff";
+    griff.title = "Größe ändern";
+    griff.setAttribute("aria-label", "Unterschrift vergroessern oder verkleinern");
+    const weg = document.createElement("button");
+    weg.type = "button";
+    weg.className = "viewer__unterschriftweg";
+    weg.textContent = "x";
+    weg.title = "Unterschrift entfernen";
+    weg.setAttribute("aria-label", "Unterschrift entfernen");
+    marke.append(bild, text, griff, weg);
+    seitenEl.append(marke);
+
+    const zeichnen = () => {
+      marke.style.left = `${(eintrag.x / blick.width) * 100}%`;
+      marke.style.bottom = `${(eintrag.y / blick.height) * 100}%`;
+      marke.style.width = `${(eintrag.breite / blick.width) * 100}%`;
+    };
+    zeichnen();
+
+    weg.addEventListener("click", (event) => {
+      event.stopPropagation();
+      const stelle = unterschriften.indexOf(eintrag);
+      if (stelle >= 0) unterschriften.splice(stelle, 1);
+      marke.remove();
+    });
+
+    // Verschieben und Skalieren teilen sich einen Zeiger: beim Griff aendert
+    // sich die Breite, sonst die Lage.
+    const fassen = (event) => {
+      if (event.target === weg) return;
+      event.preventDefault();
+      event.stopPropagation();
+      const skalieren = event.target === griff;
+      const rechteck = seitenEl.getBoundingClientRect();
+      const proPunkt = rechteck.width / blick.width;
+      const startX = event.clientX;
+      const startY = event.clientY;
+      const startBreite = eintrag.breite;
+      const start = { x: eintrag.x, y: eintrag.y };
+      const obergrenze = Math.min(MAX_BREITE, blick.width * 0.3);
+      marke.setPointerCapture(event.pointerId);
+      marke.classList.add("is-fassend");
+
+      const bewegen = (zug) => {
+        if (skalieren) {
+          const breite = startBreite + (zug.clientX - startX) / proPunkt;
+          eintrag.breite = Math.max(40, Math.min(obergrenze, breite));
+        } else {
+          eintrag.x = Math.max(2, start.x + (zug.clientX - startX) / proPunkt);
+          eintrag.y = Math.max(
+            // Platz fuer die Textzeilen unter der Zeichnung.
+            schriftgroesse(eintrag.breite) * 2.5,
+            start.y - (zug.clientY - startY) / proPunkt
+          );
+        }
+        zeichnen();
+      };
+      const loslassen = () => {
+        marke.classList.remove("is-fassend");
+        marke.removeEventListener("pointermove", bewegen);
+        marke.removeEventListener("pointerup", loslassen);
+        marke.removeEventListener("pointercancel", loslassen);
+      };
+      marke.addEventListener("pointermove", bewegen);
+      marke.addEventListener("pointerup", loslassen);
+      marke.addEventListener("pointercancel", loslassen);
+    };
+    marke.addEventListener("pointerdown", fassen);
+  };
+
   behaelter.addEventListener("click", (event) => {
     platzieren(event).catch((fehler) => console.error("Unterschrift", fehler));
   });
@@ -667,8 +767,9 @@ async function pdfBetrachter(behaelter, seiten, url, basis, { formulare = true }
       });
     },
     /** Wartet der Betrachter auf den Tipp, wohin die Unterschrift soll? */
-    unterschriftAnnehmen: (daten) => {
+    unterschriftAnnehmen: (daten, zeuge = "") => {
       wartendeUnterschrift = daten;
+      zeugenzeile = () => zeuge;
       behaelter.classList.add("viewer__pdfscroll--setzen");
     },
     unterschriften: () => unterschriften.map(({ name, zeit }) => ({ name, zeit })),
@@ -710,6 +811,15 @@ export function initFilePreview(wurzel = document) {
   const ersetzenFeld = stueck("ersetzen");
   const ersetzenKasten = stueck("ersetzenfeld");
   const pruefzeile = stueck("pruefung");
+  // Die Ordner der geoeffneten Freigabe kommen mit der Seite; die einer
+  // anderen holt das Auswahlfeld bei Bedarf nach.
+  const eigeneOrdner = () => {
+    try {
+      return JSON.parse(rumpf.dataset.viewerOrdnerliste || "[]");
+    } catch {
+      return [];
+    }
+  };
   const jetzt = stueck("jetzt");
   const abbrechen = stueck("abbrechen");
   const modusFeld = stueck("modus");
@@ -747,7 +857,7 @@ export function initFilePreview(wurzel = document) {
     if (bildBuehne.hidden || !bild.getAttribute("src")) return;
     if (hinweis) {
       hinweis.textContent =
-        "Dieses Bildformat kann Ihr Browser nicht anzeigen -- bitte herunterladen.";
+        "Dieses Bildformat kann Ihr Browser nicht anzeigen – bitte herunterladen.";
     }
   });
 
@@ -815,8 +925,8 @@ export function initFilePreview(wurzel = document) {
           pruefzeile.className = "viewer__pruefung viewer__pruefung--gut";
           const namen = (stand.namen || []).join(", ");
           pruefzeile.textContent =
-            `Unveraendert seit der Unterschrift${namen ? ` von ${namen}` : ""}` +
-            ` -- Pruefsumme stimmt mit dem Aenderungsprotokoll ueberein.`;
+            `Unverändert seit der Unterschrift${namen ? ` von ${namen}` : ""}` +
+            ` | Prüfsumme stimmt mit dem Änderungsprotokoll überein.`;
         }
       } else if (stand.status === "veraendert") {
         pdfBehaelter.classList.add("viewer__pdf--veraendert");
@@ -824,8 +934,8 @@ export function initFilePreview(wurzel = document) {
           pruefzeile.hidden = false;
           pruefzeile.className = "viewer__pruefung viewer__pruefung--schlecht";
           pruefzeile.textContent =
-            "Diese Datei wurde nach der Unterschrift veraendert -- die Pruefsumme " +
-            "weicht vom Aenderungsprotokoll ab.";
+            "Diese Datei wurde nach der Unterschrift verändert – die Prüfsumme " +
+            "weicht vom Änderungsprotokoll ab.";
         }
       }
     } catch (fehler) {
@@ -867,7 +977,7 @@ export function initFilePreview(wurzel = document) {
         // Browsers die einzige Spur, die man hat.
         const grund = String(fehler?.message || fehler || "").slice(0, 120);
         hinweis.textContent =
-          "Die Formularansicht liess sich nicht laden -- es bleibt bei der einfachen Anzeige." +
+          "Die Formularansicht ließ sich nicht laden – es bleibt bei der einfachen Anzeige." +
           (grund ? ` (${grund})` : "");
         // Die Leiste traegt den Hinweis. "zeigen('text')" hat sie gerade
         // verborgen -- ohne diese Zeile blieb der Fehlschlag unsichtbar, und
@@ -901,7 +1011,7 @@ export function initFilePreview(wurzel = document) {
     if (!aktuell) return;
     const teile = aktuell.pfad.split("/");
     const datei = teile.pop() || "formular.pdf";
-    ordnerFeld.value = teile.join("/");
+    ordnerFuellen(eigeneOrdner(), teile.join("/"));
     // Ohne Endung: die haengt der Server an. Eine Datei, die auf ".pdf.txt"
     // oder auf gar nichts endet, oeffnet auf einer Freigabe nichts mehr.
     // Der Zusatz haelt die Vorlage heil, auch wenn jemand blind speichert.
@@ -933,6 +1043,13 @@ export function initFilePreview(wurzel = document) {
     }
   };
 
+  // Gesetzt heisst fertig zum Ablegen: die Zeile geht von selbst auf, statt
+  // dass man den Knopf daneben sucht.
+  pdfScroll?.addEventListener("unterschrieben", () => {
+    if (!zeile || !zeile.hidden) return;
+    speichern?.click();
+  });
+
   unterschreibenKnopf?.addEventListener("click", () => {
     if (!pdf) return;
     panelZeigen(unterschriftPanel?.hidden !== false);
@@ -958,9 +1075,16 @@ export function initFilePreview(wurzel = document) {
       if (padHinweis) padHinweis.textContent = "Bitte im Feld unterschreiben.";
       return;
     }
-    pdf.unterschriftAnnehmen({ ...zeichnung, name, zeit: jetztText() });
+    pdf.unterschriftAnnehmen(
+      { ...zeichnung, name, zeit: jetztText() },
+      bezeugen ? konto : ""
+    );
     panelZeigen(false);
-    window.tesm.showToast("Jetzt auf die Stelle im Dokument tippen.", "info");
+    window.tesm.showToast(
+      "Jetzt auf die Stelle im Dokument tippen – danach lässt sie sich noch "
+      + "verschieben und in der Größe anpassen.",
+      "info"
+    );
   });
 
   speichern?.addEventListener("click", () => {
@@ -984,25 +1108,40 @@ export function initFilePreview(wurzel = document) {
   /* Zielfreigabe: die Ordnerliste gehoert zur gewaehlten Freigabe, nicht zur
      geoeffneten. Geholt wird sie erst bei Bedarf -- alle Listen im
      Seitenaufbau mitzuschicken waere Ballast fuer einen seltenen Fall. */
-  const ordnerListe = ordnerFeld ? document.getElementById(ordnerFeld.getAttribute("list")) : null;
+  /** Fuellt die Ordnerauswahl -- erster Eintrag ist immer die Wurzel. */
+  const ordnerFuellen = (ordner, ausgewaehlt = "") => {
+    if (!ordnerFeld) return;
+    const wurzel = document.createElement("option");
+    wurzel.value = "";
+    wurzel.textContent = "Wurzelverzeichnis der Freigabe";
+    const eintraege = [wurzel];
+    for (const name of ordner) {
+      const option = document.createElement("option");
+      option.value = name;
+      option.textContent = name;
+      eintraege.push(option);
+    }
+    // Der Ordner der Vorlage kann tiefer liegen, als die Liste reicht.
+    if (ausgewaehlt && !ordner.includes(ausgewaehlt)) {
+      const option = document.createElement("option");
+      option.value = ausgewaehlt;
+      option.textContent = ausgewaehlt;
+      eintraege.splice(1, 0, option);
+    }
+    ordnerFeld.replaceChildren(...eintraege);
+    ordnerFeld.value = ausgewaehlt;
+  };
 
   zielFeld?.addEventListener("change", async () => {
-    if (!ordnerListe) return;
     const vorlage = zielFeld.dataset.urlVorlage || "";
     if (!vorlage) return;
-    ordnerFeld.value = "";
     try {
       const antwort = await window.tesm.api(vorlage.replace("__token__", zielFeld.value));
-      ordnerListe.replaceChildren(
-        ...(antwort.folders || []).map((eintrag) => {
-          const option = document.createElement("option");
-          option.value = eintrag;
-          return option;
-        })
-      );
+      ordnerFuellen(antwort.folders || []);
     } catch (fehler) {
-      // Kein Beinbruch: das Feld nimmt auch getippte Pfade.
+      // Kein Beinbruch: dann bleibt es bei der Wurzel.
       console.error("Ordnerliste", fehler);
+      ordnerFuellen([]);
     }
   });
 

packages/tesm-core/src/tesm_core/sysops.py

@@ -78,7 +78,7 @@ class Result:
 UNAVAILABLE = Result(
     ok=False,
     stderr=(
-        "Systemaktionen sind in dieser Umgebung nicht verfuegbar "
+        "Systemaktionen sind in dieser Umgebung nicht verfügbar "
         "(Helfer nicht installiert oder kein Linux-Host)."
     ),
     code=127,
@@ -132,16 +132,16 @@ class SysOps:
                 False,
                 "",
                 "sudo wird durch 'NoNewPrivileges' der systemd-Unit blockiert. Ohne sudo "
-                "kann der Dienst den Helfer nicht aufrufen -- keine Systemaktion "
+                "kann der Dienst den Helfer nicht aufrufen – keine Systemaktion "
                 "funktioniert. In der Unit 'NoNewPrivileges=yes' entfernen und "
-                "'systemctl daemon-reload && systemctl restart' ausfuehren.",
+                "'systemctl daemon-reload && systemctl restart' ausführen.",
                 result.code,
             )
         if not result.ok and "a password is required" in result.output.lower():
             return Result(
                 False,
                 "",
-                "sudo verlangt ein Passwort. Die sudoers-Regel fuer den Helfer fehlt oder "
+                "sudo verlangt ein Passwort. Die sudoers-Regel für den Helfer fehlt oder "
                 "greift nicht.",
                 result.code,
             )
@@ -177,7 +177,7 @@ class SysOps:
                 check=False,
             )
         except subprocess.TimeoutExpired:
-            return Result(False, stderr=f"Zeitlimit ueberschritten ({verb}).", code=124)
+            return Result(False, stderr=f"Zeitlimit überschritten ({verb}).", code=124)
         except OSError as exc:
             return Result(False, stderr=str(exc), code=126)
         return Result(
@@ -210,7 +210,7 @@ class SysOps:
                 check=False,
             )
         except subprocess.TimeoutExpired:
-            return Result(False, stderr="Zeitlimit ueberschritten.", code=124)
+            return Result(False, stderr="Zeitlimit überschritten.", code=124)
         except OSError as exc:
             return Result(False, stderr=str(exc), code=126)
         return Result(

packages/tesm-core/src/tesm_core/system/hostnet.py

@@ -136,24 +136,24 @@ def validate_static(
     try:
         prefix_length = int(prefix)
     except (TypeError, ValueError) as exc:
-        raise ValueError("Die Praefixlaenge muss eine Zahl sein (z. B. 24).") from exc
+        raise ValueError("Die Präfixlänge muss eine Zahl sein (z. B. 24).") from exc
     if not 1 <= prefix_length <= 32:
-        raise ValueError("Die Praefixlaenge muss zwischen 1 und 32 liegen.")
+        raise ValueError("Die Präfixlänge muss zwischen 1 und 32 liegen.")
     try:
         interface_ip = ipaddress.ip_interface(f"{address.strip()}/{prefix_length}")
     except ValueError as exc:
-        raise ValueError(f"{address!r} ist keine gueltige IPv4-Adresse.") from exc
+        raise ValueError(f"{address!r} ist keine gültige IPv4-Adresse.") from exc
 
     gateway_clean = (gateway or "").strip()
     if gateway_clean:
         try:
             gateway_ip = ipaddress.ip_address(gateway_clean)
         except ValueError as exc:
-            raise ValueError(f"{gateway_clean!r} ist keine gueltige Gateway-Adresse.") from exc
+            raise ValueError(f"{gateway_clean!r} ist keine gültige Gateway-Adresse.") from exc
         if gateway_ip not in interface_ip.network:
             raise ValueError(
                 f"Das Gateway {gateway_clean} liegt nicht im Netz {interface_ip.network}. "
-                "So waere der Host nach der Aenderung nicht mehr erreichbar."
+                "So wäre der Host nach der Änderung nicht mehr erreichbar."
             )
 
     servers: list[str] = []
@@ -163,7 +163,7 @@ def validate_static(
         try:
             ipaddress.ip_address(token)
         except ValueError as exc:
-            raise ValueError(f"{token!r} ist keine gueltige DNS-Adresse.") from exc
+            raise ValueError(f"{token!r} ist keine gültige DNS-Adresse.") from exc
         servers.append(token)
 
     return str(interface_ip.ip), prefix_length, gateway_clean, servers
@@ -185,7 +185,7 @@ def render_netplan(
     zuruecksetzen -- ein realer Fehler des Vorgaengerprojekts.
     """
     lines = [
-        "# Von TESM verwaltet. Diese Datei enthaelt ausschliesslich das unten",
+        "# Von TESM verwaltet. Diese Datei enthält ausschließlich das unten",
         "# genannte Interface; alle anderen bleiben bei ihrer",
         "# Distributionskonfiguration.",
         "network:",

packages/tesm-core/src/tesm_core/system/webserver.py

@@ -94,7 +94,7 @@ def validate_domain(value: str) -> str:
     if not text:
         return ""
     if not DOMAIN_RE.match(text):
-        raise ValueError(f"{text!r} ist kein gueltiger Domainname.")
+        raise ValueError(f"{text!r} ist kein gültiger Domainname.")
     return text
 
 
@@ -122,8 +122,8 @@ def render(config: WebConfig) -> str:
     ]
 
     lines: list[str] = [
-        f"# Von TESM erzeugt ({config.app_key}). Aenderungen bitte in der Anwendung",
-        "# vornehmen -- diese Datei wird bei jeder Uebernahme neu geschrieben.",
+        f"# Von TESM erzeugt ({config.app_key}). Änderungen bitte in der Anwendung",
+        "# vornehmen – diese Datei wird bei jeder Übernahme neu geschrieben.",
         "",
     ]
 
@@ -200,7 +200,7 @@ def _site_body(config: WebConfig, common_proxy: list[str], body: str, *, tls: bo
         f"    client_max_body_size {body};",
         f"    # {uploads.NGINX_ZUSCHLAG_MB} MB mehr als die Anwendung erlaubt, damit deren"
         " eigene,",
-        "    # erklaerende Fehlerseite gewinnt statt der generischen 413 von nginx.",
+        "    # erklärende Fehlerseite gewinnt statt der generischen 413 von nginx.",
         "",
         "    location /assets/ {",
         f"        alias {config.static_root.rstrip('/')}/;",
@@ -256,10 +256,10 @@ def apply_config(sysops: SysOps, content: str) -> dict[str, Any]:
     if not result.ok:
         return {
             "ok": False,
-            "message": "nginx hat die Konfiguration abgelehnt -- der alte Stand gilt weiter.",
+            "message": "nginx hat die Konfiguration abgelehnt – der alte Stand gilt weiter.",
             "detail": result.output,
         }
-    return {"ok": True, "message": "Konfiguration uebernommen.", "detail": result.output}
+    return {"ok": True, "message": "Konfiguration übernommen.", "detail": result.output}
 
 
 def request_certificate(
@@ -274,13 +274,13 @@ def request_certificate(
     if not domain:
         return {"ok": False, "message": "Es ist keine Domain konfiguriert."}
     if not email:
-        return {"ok": False, "message": "Fuer Let's Encrypt ist eine E-Mail-Adresse noetig."}
+        return {"ok": False, "message": "Für Let's Encrypt ist eine E-Mail-Adresse nötig."}
     result = sysops.certbot_issue(domain, email, webroot)
     if not result.ok:
         return {"ok": False, "message": "certbot ist fehlgeschlagen.", "detail": result.output}
     return {
         "ok": True,
-        "message": f"Zertifikat fuer {domain} ausgestellt.",
+        "message": f"Zertifikat für {domain} ausgestellt.",
         "detail": result.output,
         "cert_path": f"/etc/letsencrypt/live/{domain}/fullchain.pem",
         "key_path": f"/etc/letsencrypt/live/{domain}/privkey.pem",
@@ -303,9 +303,9 @@ def create_self_signed(
     """
     name = (common_name or "").strip().lower().rstrip(".")
     if not name:
-        return {"ok": False, "message": "Es fehlt ein Name fuer das Zertifikat."}
+        return {"ok": False, "message": "Es fehlt ein Name für das Zertifikat."}
     if not re.fullmatch(r"[A-Za-z0-9]([A-Za-z0-9.-]{0,251}[A-Za-z0-9])?", name):
-        return {"ok": False, "message": f"{name!r} ist als Zertifikatsname nicht zulaessig."}
+        return {"ok": False, "message": f"{name!r} ist als Zertifikatsname nicht zulässig."}
 
     cleaned: list[str] = []
     for entry in alt_names:
@@ -328,8 +328,8 @@ def create_self_signed(
     return {
         "ok": True,
         "message": (
-            f"Selbstsigniertes Zertifikat fuer {name} erzeugt. Browser zeigen dafuer eine "
-            "Warnung -- fuer ein oeffentlich erreichbares System bitte Let's Encrypt nutzen."
+            f"Selbstsigniertes Zertifikat für {name} erzeugt. Browser zeigen dafür eine "
+            "Warnung – für ein öffentlich erreichbares System bitte Let's Encrypt nutzen."
         ),
         "cert_path": paths[0],
         "key_path": paths[1],

packages/tesm-core/src/tesm_core/templates/tesm_core/base.html

@@ -181,7 +181,7 @@
   <div class="palette__hint">
     <span><kbd>&uarr;</kbd><kbd>&darr;</kbd> wählen</span>
     <span><kbd>Enter</kbd> öffnen</span>
-    <span><kbd>Esc</kbd> schliessen</span>
+    <span><kbd>Esc</kbd> schließen</span>
   </div>
 </dialog>
 <script type="application/json" id="palette-data">{{ palette_entries | tojson }}</script>

packages/tesm-core/src/tesm_core/templates/tesm_core/users.html

@@ -2,7 +2,7 @@
 {% from "tesm_core/macros.html" import field, select_field, checkbox, pill, search_box, modal, empty_state, alert %}
 
 {% block page_title %}Benutzer{% endblock %}
-{% block page_sub %}{{ users | length }} Konten · Rechte kommen ausschliesslich aus Gruppen{% endblock %}
+{% block page_sub %}{{ users | length }} Konten · Rechte kommen ausschließlich aus Gruppen{% endblock %}
 
 {% block topbar_extra %}
   {{ search_box('users-table', 'Benutzer suchen ...', count_id='users-visible') }}

packages/tesm-core/src/tesm_core/transfer.py

@@ -84,7 +84,7 @@ def _derive_key(passphrase: str, salt: bytes, params: dict[str, int]) -> bytes:
 def seal(payload: dict[str, Any], passphrase: str, *, app_tag: str) -> str:
     if len(passphrase or "") < MIN_PASSPHRASE_LENGTH:
         raise TransferError(
-            f"Die Passphrase muss mindestens {MIN_PASSPHRASE_LENGTH} Zeichen haben -- sie ist "
+            f"Die Passphrase muss mindestens {MIN_PASSPHRASE_LENGTH} Zeichen haben – sie ist "
             "der einzige Schutz dieser Datei."
         )
     salt = secrets.token_bytes(KDF_SALT_BYTES)
@@ -116,21 +116,21 @@ def unseal(
     try:
         envelope = json.loads(text)
     except ValueError as exc:
-        raise TransferError("Die Datei ist kein gueltiges JSON.") from exc
+        raise TransferError("Die Datei ist kein gültiges JSON.") from exc
     if not isinstance(envelope, dict):
-        raise TransferError("Die Datei enthaelt kein Objekt.")
+        raise TransferError("Die Datei enthält kein Objekt.")
     if envelope.get("app") != app_tag:
         raise TransferError(
-            f"Diese Sicherung gehoert zu einer anderen Anwendung ({envelope.get('app')!r})."
+            f"Diese Sicherung gehört zu einer anderen Anwendung ({envelope.get('app')!r})."
         )
     if int(envelope.get("format") or 0) != FORMAT_VERSION:
         raise TransferError(
-            f"Nicht unterstuetztes Sicherungsformat ({envelope.get('format')!r}, "
+            f"Nicht unterstütztes Sicherungsformat ({envelope.get('format')!r}, "
             f"erwartet {FORMAT_VERSION})."
         )
     kdf = envelope.get("kdf") or {}
     if kdf.get("name") != "argon2id":
-        raise TransferError("Unbekanntes Schluesselableitungsverfahren.")
+        raise TransferError("Unbekanntes Schlüsselableitungsverfahren.")
 
     header = {
         key: envelope[key]
@@ -153,7 +153,7 @@ def unseal(
         )
     except (InvalidTag, KeyError, ValueError) as exc:
         raise TransferError(
-            "Die Datei konnte nicht geoeffnet werden. Passphrase falsch oder Datei beschaedigt."
+            "Die Datei konnte nicht geöffnet werden. Passphrase falsch oder Datei beschädigt."
         ) from exc
     return json.loads(plain.decode("utf-8")), header
 

packages/tesm-core/src/tesm_core/ui.py

@@ -197,7 +197,7 @@ def yes_no(value: Any) -> str:
 #: Tippfehler. Uebersetzt wird an genau einer Stelle, damit die beiden
 #: Anwendungen nicht auseinanderlaufen.
 ISSUER_SOURCES: dict[str, tuple[str, str]] = {
-    "tofu": ("Erstkontakt", "beim ersten Einspielen automatisch uebernommen"),
+    "tofu": ("Erstkontakt", "beim ersten Einspielen automatisch übernommen"),
     "admin-confirmed": (
         "Bestaetigt",
         "Ausstellerwechsel von einem Administrator freigegeben",

packages/tesm-core/src/tesm_core/views/account.py

@@ -99,7 +99,7 @@ def update_profile():
     if current_user.is_directory_account:
         flash(
             "Ihre Stammdaten kommen aus dem Verzeichnisdienst und werden bei jeder "
-            "Anmeldung uebernommen.",
+            "Anmeldung übernommen.",
             "info",
         )
         return redirect(url_for("account.overview"))
@@ -123,7 +123,7 @@ def update_profile():
 def upload_avatar():
     upload = request.files.get("avatar")
     if upload is None or not upload.filename:
-        flash("Keine Datei ausgewaehlt.", "danger")
+        flash("Keine Datei ausgewählt.", "danger")
         return redirect(url_for("account.overview"))
 
     suffix = Path(upload.filename).suffix.lower()
@@ -139,7 +139,7 @@ def upload_avatar():
 
     data = upload.stream.read(MAX_AVATAR_BYTES + 1)
     if len(data) > MAX_AVATAR_BYTES:
-        flash("Das Bild ist zu gross (maximal 2 MB).", "danger")
+        flash("Das Bild ist zu groß (maximal 2 MB).", "danger")
         return redirect(url_for("account.overview"))
 
     filename = f"{current_user.id}-{secrets.token_hex(8)}{suffix}"
@@ -215,7 +215,7 @@ def security():
 def change_password():
     conn = db()
     if current_user.is_directory_account:
-        flash("Verzeichniskonten aendern ihr Passwort im Verzeichnisdienst.", "info")
+        flash("Verzeichniskonten ändern ihr Passwort im Verzeichnisdienst.", "info")
         return redirect(url_for("account.security"))
 
     current = request.form.get("current_password") or ""
@@ -226,7 +226,7 @@ def change_password():
         flash("Das aktuelle Passwort ist nicht korrekt.", "danger")
         return redirect(url_for("account.security"))
     if new != repeat:
-        flash("Die beiden neuen Passwoerter stimmen nicht ueberein.", "danger")
+        flash("Die beiden neuen Passwörter stimmen nicht überein.", "danger")
         return redirect(url_for("account.security"))
     if passwords.constant_time_equals(current, new):
         flash("Das neue Passwort muss sich vom alten unterscheiden.", "danger")
@@ -244,7 +244,7 @@ def change_password():
         flash(str(exc), "danger")
         return redirect(url_for("account.security"))
 
-    flash(f"Passwort geaendert. {revoked} weitere Sitzung(en) wurden beendet.", "success")
+    flash(f"Passwort geändert. {revoked} weitere Sitzung(en) wurden beendet.", "success")
     return redirect(url_for("account.security"))
 
 
@@ -253,7 +253,7 @@ def change_password():
 @reauth_required
 def totp_start():
     session["_totp_setup"] = totp.generate_secret()
-    flash("Scannen Sie den Code und bestaetigen Sie mit einem gueltigen Zahlencode.", "info")
+    flash("Scannen Sie den Code und bestätigen Sie mit einem gültigen Zahlencode.", "info")
     return redirect(url_for("account.security"))
 
 
@@ -263,7 +263,7 @@ def totp_start():
 def totp_confirm():
     secret = session.get("_totp_setup", "")
     if not secret:
-        flash("Es laeuft keine Einrichtung. Bitte neu starten.", "danger")
+        flash("Es läuft keine Einrichtung. Bitte neu starten.", "danger")
         return redirect(url_for("account.security"))
     if not totp.verify_code(secret, request.form.get("code") or ""):
         flash("Der Code ist nicht korrekt. Bitte erneut versuchen.", "danger")
@@ -306,7 +306,7 @@ def totp_confirm():
 def totp_disable():
     if core().config.security.require_totp_for_admins and current_user.is_admin:
         flash(
-            "Fuer Administratoren ist die Zwei-Faktor-Authentisierung in dieser "
+            "Für Administratoren ist die Zwei-Faktor-Authentisierung in dieser "
             "Installation verpflichtend.",
             "danger",
         )

packages/tesm-core/src/tesm_core/views/admin.py

@@ -120,7 +120,7 @@ def user_update(user_id: int):
                     policy=core().password_policy,
                     must_change=True,
                 )
-                changes.append("Passwort zurueckgesetzt")
+                changes.append("Passwort zurückgesetzt")
                 session_store.revoke_all_for_user(conn, user_id, reason="password-reset")
             target = rbac.get_user(conn, user_id) or {}
             if changes:
@@ -131,7 +131,7 @@ def user_update(user_id: int):
                     "; ".join(changes),
                     severity="notice",
                 )
-        flash("Aenderungen gespeichert." if changes else "Keine Aenderungen.", "success" if changes else "info")
+        flash("Änderungen gespeichert." if changes else "Keine Änderungen.", "success" if changes else "info")
     except (rbac.ValidationError, rbac.PermissionDenied) as exc:
         flash(str(exc), "danger")
     return redirect(url_for("admin.users"))
@@ -153,7 +153,7 @@ def user_delete(user_id: int):
                 severity="warning",
             )
         flash(
-            "Konto endgueltig entfernt (Verzeichniskonto)."
+            "Konto endgültig entfernt (Verzeichniskonto)."
             if mode == "endgueltig"
             else "Konto in den Papierkorb verschoben.",
             "success",
@@ -328,7 +328,7 @@ def group_update(group_id: int):
                     "; ".join(changes),
                     severity="notice",
                 )
-        flash("Aenderungen gespeichert." if changes else "Keine Aenderungen.", "success" if changes else "info")
+        flash("Änderungen gespeichert." if changes else "Keine Änderungen.", "success" if changes else "info")
     except (rbac.ValidationError, rbac.PermissionDenied) as exc:
         flash(str(exc), "danger")
     return redirect(url_for("admin.group_detail", group_id=group_id))
@@ -364,7 +364,7 @@ def group_apply_preset(group_id: int):
         abort(404)
     preset = next((p for p in core().role_presets if p.key == group.preset_key), None)
     if preset is None:
-        flash("Fuer diese Gruppe ist keine Vorlage hinterlegt.", "info")
+        flash("Für diese Gruppe ist keine Vorlage hinterlegt.", "info")
         return redirect(url_for("admin.group_detail", group_id=group_id))
     tree = core().permissions
     with transaction():
@@ -377,7 +377,7 @@ def group_apply_preset(group_id: int):
             unlock_system=True,
         )
         _audit(conn, "group.preset_applied", group.name, preset.key, severity="notice")
-    flash(f"Rechte der Vorlage {preset.name} uebernommen.", "success")
+    flash(f"Rechte der Vorlage {preset.name} übernommen.", "success")
     return redirect(url_for("admin.group_detail", group_id=group_id))
 
 

packages/tesm-core/src/tesm_core/views/diagnostics.py

@@ -82,7 +82,7 @@ def overview():
             "Debug": "ja" if config.debug else "nein",
             "Cookie Secure": "ja" if config.security.cookie_secure else "nein",
             "HSTS": "ja" if config.security.hsts_enabled else "nein",
-            "2FA-Pflicht fuer Admins": "ja" if config.security.require_totp_for_admins else "nein",
+            "2FA-Pflicht für Admins": "ja" if config.security.require_totp_for_admins else "nein",
         },
         now=datetime.now(timezone.utc),
     )
@@ -109,7 +109,7 @@ def housekeeping():
             severity="notice",
         )
     flash(
-        f"Aufgeraeumt: {sessions_removed} Sitzungen, {rate_removed} Ratenereignisse, "
+        f"Aufgeräumt: {sessions_removed} Sitzungen, {rate_removed} Ratenereignisse, "
         f"{len(archived)} archivierte Protokolltage.",
         "success",
     )
@@ -139,12 +139,12 @@ def rotate_keys():
             actor_id=current_user.id,
             action="system.data_key_rotated",
             target=new_id,
-            detail=f"{migrated} Werte neu verschluesselt",
+            detail=f"{migrated} Werte neu verschlüsselt",
             severity="notice",
         )
     flash(
-        f"Neuer Datenschluessel {new_id} aktiv, {migrated} gespeicherte Geheimnisse "
-        "wurden neu verschluesselt.",
+        f"Neuer Datenschlüssel {new_id} aktiv, {migrated} gespeicherte Geheimnisse "
+        "wurden neu verschlüsselt.",
         "success",
     )
     return redirect(url_for("diagnostics.overview"))

packages/tesm-core/src/tesm_core/views/hostsettings.py

@@ -86,7 +86,7 @@ def network_apply():
     extension = core()
     sysops = extension.sysops
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("hostsettings.network"))
 
     interface = (request.form.get("interface") or "").strip()
@@ -127,7 +127,7 @@ def network_apply():
         sysops.write_netplan(previous.stdout if previous.ok else "")
         sysops.apply_netplan()
         flash(
-            f"Uebernahme fehlgeschlagen, alter Zustand wiederhergestellt: {applied.message}",
+            f"Übernahme fehlgeschlagen, alter Zustand wiederhergestellt: {applied.message}",
             "danger",
         )
         return redirect(url_for("hostsettings.network"))
@@ -140,8 +140,8 @@ def network_apply():
     _start_revert_timer(extension)
     _audit("settings.network_applied", interface, severity="warning")
     flash(
-        f"Uebernommen. Bitte innerhalb von {hostnet.REVERT_SECONDS} Sekunden bestaetigen -- "
-        "sonst wird automatisch zurueckgerollt.",
+        f"Übernommen. Bitte innerhalb von {hostnet.REVERT_SECONDS} Sekunden bestätigen – "
+        "sonst wird automatisch zurückgerollt.",
         "warning",
     )
     return redirect(url_for("hostsettings.network"))
@@ -151,10 +151,10 @@ def network_apply():
 @permission_required("settings_network.edit")
 def network_confirm():
     if core().registry.pop(PENDING_NETWORK_KEY, None) is None:
-        flash("Es liegt keine Aenderung zur Bestaetigung vor.", "info")
+        flash("Es liegt keine Änderung zur Bestätigung vor.", "info")
     else:
         _audit("settings.network_confirmed", severity="notice")
-        flash("Netzwerkeinstellungen bestaetigt.", "success")
+        flash("Netzwerkeinstellungen bestätigt.", "success")
     return redirect(url_for("hostsettings.network"))
 
 
@@ -173,7 +173,7 @@ def _start_revert_timer(extension: Any) -> None:
                 conn,
                 actor="system",
                 action="settings.network_auto_reverted",
-                detail="Keine Bestaetigung innerhalb der Frist -- automatisch zurueckgerollt.",
+                detail="Keine Bestätigung innerhalb der Frist – automatisch zurückgerollt.",
                 severity="warning",
             )
 
@@ -281,7 +281,7 @@ def web_save():
     cert_path = (request.form.get("web_cert_path") or "").strip()
     key_path = (request.form.get("web_key_path") or "").strip()
     if https_enabled and not (cert_path and key_path):
-        flash("Fuer HTTPS werden Zertifikat und privater Schluessel gebraucht.", "danger")
+        flash("Für HTTPS werden Zertifikat und privater Schlüssel gebraucht.", "danger")
         return redirect(url_for("hostsettings.web"))
 
     values = {
@@ -298,7 +298,7 @@ def web_save():
     with transaction():
         changed = extension.settings.set_many(conn, values, actor=current_user.username)
     _audit("settings.web_saved", domain, ", ".join(changed), severity="notice")
-    flash("Gespeichert. Uebernehmen Sie die Konfiguration, damit sie wirksam wird.", "success")
+    flash("Gespeichert. Übernehmen Sie die Konfiguration, damit sie wirksam wird.", "success")
     return redirect(url_for("hostsettings.web"))
 
 
@@ -311,7 +311,7 @@ def web_apply():
         return redirect(url_for("hostsettings.web"))
     sysops = core().sysops
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("hostsettings.web"))
 
     result = webserver.apply_config(sysops, webserver.render(_web_config()))
@@ -338,7 +338,7 @@ def web_certificate():
     sysops = extension.sysops
     conn = db()
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("hostsettings.web"))
 
     config = _web_config()
@@ -381,7 +381,7 @@ def web_self_signed():
     sysops = extension.sysops
     conn = db()
     if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
         return redirect(url_for("hostsettings.web"))
 
     config = _web_config()
@@ -454,8 +454,8 @@ def directory_save():
 
     if values.get("ldap_security") == "none" and not values.get("ldap_allow_insecure"):
         flash(
-            "Eine unverschluesselte Verbindung muss ausdruecklich erlaubt werden -- das Passwort "
-            "geht dabei im Klartext ueber das Netz.",
+            "Eine unverschlüsselte Verbindung muss ausdrücklich erlaubt werden – das Passwort "
+            "geht dabei im Klartext über das Netz.",
             "danger",
         )
         return redirect(url_for("hostsettings.directory_settings"))

packages/tesm-core/src/tesm_core/views/logs.py

@@ -235,7 +235,7 @@ def audit_export():
         mimetype="text/csv; charset=utf-8",
         headers={
             "Content-Disposition": (
-                f'attachment; filename="{core().config.app_key}-aenderungsprotokoll.csv"'
+                f'attachment; filename="{core().config.app_key}-änderungsprotokoll.csv"'
             )
         },
     )

packages/tesm-core/src/tesm_core/views/trash.py

@@ -100,7 +100,7 @@ def register_core_providers() -> None:
             list_fn=_users_in_trash,
             restore_fn=lambda conn, ident: rbac.restore_user(conn, int(ident)),
             purge_fn=lambda conn, ident: rbac.purge_user(conn, int(ident)),
-            hint="Verzeichniskonten landen nie hier -- sie legen sich bei der naechsten "
+            hint="Verzeichniskonten landen nie hier – sie legen sich bei der nächsten "
             "Anmeldung von selbst wieder an.",
         )
     )
@@ -112,7 +112,7 @@ def register_core_providers() -> None:
             list_fn=_groups_in_trash,
             restore_fn=lambda conn, ident: rbac.restore_group(conn, int(ident)),
             purge_fn=lambda conn, ident: rbac.purge_group(conn, int(ident)),
-            hint="Beim endgueltigen Loeschen verschwinden auch Mitgliedschaften und Rechte.",
+            hint="Beim endgültigen Löschen verschwinden auch Mitgliedschaften und Rechte.",
         )
     )
 
@@ -158,11 +158,11 @@ def overview():
                     conn,
                     actor="system",
                     action="trash.auto_purged",
-                    detail=f"{removed} abgelaufene Eintraege",
+                    detail=f"{removed} abgelaufene Einträge",
                     severity="notice",
                 )
     if removed:
-        flash(f"{removed} abgelaufene Eintraege wurden endgueltig entfernt.", "info")
+        flash(f"{removed} abgelaufene Einträge wurden endgültig entfernt.", "info")
 
     sections = []
     for provider in providers().values():
@@ -197,8 +197,8 @@ def restore(kind: str, ident: str):
     extension = core()
     if extension.license is not None and not extension.license.feature_allowed("trash_restore"):
         flash(
-            "Das Wiederherstellen aus dem Papierkorb erfordert eine gueltige, "
-            "aktivierte Lizenz. Ansehen bleibt jederzeit moeglich.",
+            "Das Wiederherstellen aus dem Papierkorb erfordert eine gültige, "
+            "aktivierte Lizenz. Ansehen bleibt jederzeit möglich.",
             "danger",
         )
         return redirect(url_for("trash.overview"))
@@ -228,7 +228,7 @@ def purge(kind: str, ident: str):
     extension = core()
     if extension.license is not None and not extension.license.feature_allowed("trash_restore"):
         flash(
-            "Das endgueltige Loeschen erfordert eine gueltige, aktivierte Lizenz.",
+            "Das endgültige Löschen erfordert eine gültige, aktivierte Lizenz.",
             "danger",
         )
         return redirect(url_for("trash.overview"))
@@ -246,7 +246,7 @@ def purge(kind: str, ident: str):
                 ip=client_ip(),
                 severity="warning",
             )
-        flash("Eintrag endgueltig entfernt.", "success")
+        flash("Eintrag endgültig entfernt.", "success")
     except (rbac.ValidationError, rbac.PermissionDenied) as exc:
         flash(str(exc), "danger")
     return redirect(url_for("trash.overview"))
@@ -257,7 +257,7 @@ def purge(kind: str, ident: str):
 def purge_all():
     extension = core()
     if extension.license is not None and not extension.license.feature_allowed("trash_restore"):
-        flash("Das endgueltige Loeschen erfordert eine gueltige, aktivierte Lizenz.", "danger")
+        flash("Das endgültige Löschen erfordert eine gültige, aktivierte Lizenz.", "danger")
         return redirect(url_for("trash.overview"))
 
     kind = request.form.get("kind") or ""
@@ -274,9 +274,9 @@ def purge_all():
             actor_id=current_user.id,
             action="trash.emptied",
             target=kind or "alle",
-            detail=f"{removed} Eintraege",
+            detail=f"{removed} Einträge",
             ip=client_ip(),
             severity="warning",
         )
-    flash(f"{removed} Eintraege endgueltig entfernt.", "success")
+    flash(f"{removed} Einträge endgültig entfernt.", "success")
     return redirect(url_for("trash.overview"))

packages/tesm-licensing/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-licensing"
-version = "2.7.1"
+version = "2.7.2"
 description = "Ed25519-basiertes Lizenz- und Aktivierungsprotokoll fuer TESM und TESM-Lizenzserver"
 requires-python = ">=3.11"
 dependencies = ["cryptography>=42"]

packages/tesm-licensing/src/tesm_licensing/canonical.py

@@ -42,7 +42,7 @@ def _b64d(value: str, *, field: str) -> bytes:
     try:
         return base64.b64decode(value, validate=True)
     except (binascii.Error, ValueError, TypeError) as exc:  # pragma: no cover - defensiv
-        raise ValueError(f"{field} ist kein gueltiges Base64") from exc
+        raise ValueError(f"{field} ist kein gültiges Base64") from exc
 
 
 
@@ -96,7 +96,7 @@ def decode_code(code: str) -> dict[str, Any]:
     try:
         data = json.loads(base64.urlsafe_b64decode(cleaned.encode("ascii")).decode("utf-8"))
     except (binascii.Error, ValueError, UnicodeDecodeError) as exc:
-        raise ValueError("Code ist unlesbar oder beschaedigt") from exc
+        raise ValueError("Code ist unlesbar oder beschädigt") from exc
     if not isinstance(data, dict):
-        raise ValueError("Code enthaelt kein Objekt")
+        raise ValueError("Code enthält kein Objekt")
     return data

packages/tesm-licensing/src/tesm_licensing/license.py

@@ -161,7 +161,7 @@ def split_bundle(bundle: Mapping[str, Any]) -> tuple[dict[str, Any], str]:
     eingebettetem ``license_privkey``.
     """
     if not isinstance(bundle, Mapping):
-        raise InvalidLicenseFile("Lizenzdatei enthaelt kein Objekt")
+        raise InvalidLicenseFile("Lizenzdatei enthält kein Objekt")
 
     inner = bundle.get("license")
     if isinstance(inner, Mapping):
@@ -194,10 +194,10 @@ def verify_license(
 
     missing = [name for name in _PAYLOAD_FIELDS if name not in document]
     if missing:
-        raise InvalidLicenseFile(f"Lizenzdokument unvollstaendig: {', '.join(missing)}")
+        raise InvalidLicenseFile(f"Lizenzdokument unvollständig: {', '.join(missing)}")
     if int(document.get("fmt") or 0) != FORMAT_VERSION:
         raise InvalidLicenseFile(
-            f"Nicht unterstuetzte Formatversion: {document.get('fmt')!r}"
+            f"Nicht unterstützte Formatversion: {document.get('fmt')!r}"
             f" (erwartet {FORMAT_VERSION})"
         )
     if document.get("type") not in LICENSE_TYPES:
@@ -207,17 +207,17 @@ def verify_license(
 
     master_pubkey = str(document.get("master_pubkey") or "")
     if key_id(master_pubkey) != str(document.get("master_key_id") or ""):
-        raise InvalidLicenseFile("master_key_id passt nicht zum eingebetteten Schluessel")
+        raise InvalidLicenseFile("master_key_id passt nicht zum eingebetteten Schlüssel")
 
     payload = {k: v for k, v in document.items() if k != "signature"}
     if not verify(
         payload, str(document.get("signature") or ""), master_pubkey, SIG_CONTEXT_LICENSE
     ):
-        raise SignatureInvalid("Signatur der Lizenzdatei ist ungueltig")
+        raise SignatureInvalid("Signatur der Lizenzdatei ist ungültig")
 
     if trusted_master_keys and master_pubkey not in set(trusted_master_keys):
         raise UntrustedIssuer(
-            "Die Lizenz wurde nicht von einem vertrauenswuerdigen Lizenzserver ausgestellt"
+            "Die Lizenz wurde nicht von einem vertrauenswürdigen Lizenzserver ausgestellt"
         )
 
 
@@ -236,7 +236,7 @@ def license_status(
     lifetime = bool(document.get("lifetime"))
     warnings: list[str] = []
     if not issuer_pinned:
-        warnings.append("Aussteller nicht gepinnt -- nur innere Konsistenz geprueft")
+        warnings.append("Aussteller nicht gepinnt – nur innere Konsistenz geprüft")
 
     issued_at: datetime | None = None
     expires_at: datetime | None = None
@@ -248,7 +248,7 @@ def license_status(
         try:
             parsed = parse_iso(str(raw))
         except ValueError:
-            warnings.append(f"Feld {name} ist kein gueltiges Datum")
+            warnings.append(f"Feld {name} ist kein gültiges Datum")
             continue
         if name == "issued_at":
             issued_at = parsed

packages/tesm-licensing/src/tesm_licensing/protocol.py

@@ -77,7 +77,7 @@ def build_client_request(
     if action not in ACTIONS:
         raise ProtocolViolation(f"Unbekannte Aktion: {action!r}")
     if not client_private_key:
-        raise ProtocolViolation("Kein Client-Schluessel vorhanden -- Lizenz unvollstaendig importiert")
+        raise ProtocolViolation("Kein Client-Schlüssel vorhanden | Lizenz unvollständig importiert")
 
     payload: dict[str, Any] = {
         "fmt": FORMAT_VERSION,
@@ -130,22 +130,22 @@ def verify_master_response(
     if not isinstance(response, Mapping):
         raise ProtocolViolation("Antwort ist kein Objekt")
     if int(response.get("fmt") or 0) != FORMAT_VERSION:
-        raise ProtocolViolation("Nicht unterstuetzte Protokollversion")
+        raise ProtocolViolation("Nicht unterstützte Protokollversion")
 
     payload = {k: v for k, v in response.items() if k != "signature"}
     if not verify(
         payload, str(response.get("signature") or ""), master_public_key, SIG_CONTEXT_RESPONSE
     ):
-        raise SignatureInvalid("Signatur der Antwort ist ungueltig")
+        raise SignatureInvalid("Signatur der Antwort ist ungültig")
 
     if str(response.get("license_id") or "") != expected_license_id:
-        raise ProtocolViolation("Antwort gehoert zu einer anderen Lizenz")
+        raise ProtocolViolation("Antwort gehört zu einer anderen Lizenz")
     if str(response.get("fingerprint") or "") != expected_fingerprint:
-        raise ProtocolViolation("Antwort gehoert zu einer anderen Maschine")
+        raise ProtocolViolation("Antwort gehört zu einer anderen Maschine")
     if str(response.get("action") or "") != expected_action:
-        raise ProtocolViolation("Antwort gehoert zu einer anderen Aktion")
+        raise ProtocolViolation("Antwort gehört zu einer anderen Aktion")
     if str(response.get("nonce") or "") != expected_nonce:
-        raise ReplayDetected("Antwort gehoert nicht zu dieser Anfrage")
+        raise ReplayDetected("Antwort gehört nicht zu dieser Anfrage")
     if str(response.get("status") or "") not in RESPONSE_STATES:
         raise ProtocolViolation("Unbekannter Antwortstatus")
 
@@ -156,4 +156,4 @@ def verify_master_response(
         if not isinstance(update, Mapping):
             raise ProtocolViolation("license_update ist kein Objekt")
         if int(update.get("seq") or 0) < int(current_seq or 0):
-            raise ReplayDetected("license_update ist aelter als die installierte Lizenz")
+            raise ReplayDetected("license_update ist älter als die installierte Lizenz")