Version 2.8.0: Rechtekonzept -- eine Zeile je Funktion, Administrator heisst Verwaltung

Version 2.7.8: die Vorschau haengt an derselben Kante wie die Datei
Version 2.7.7: Schriftgroesse der Vorschau wird gerechnet
2026-09-12 13:27:45 +02:00 · 2026-09-12 11:37:03 +02:00 · 2026-09-12 01:34:02 +02:00 · 2026-09-12 01:12:05 +02:00 · 2026-09-12 00:43:09 +02:00 · 2026-09-12 00:30:34 +02:00
177 changed files with 20838 additions and 1473 deletions
@@ -23,7 +23,8 @@ mitbringen.

 | Wo sonst noch | |
 |---|---|
-| [alientim/tesm-license](https://gitea.int.eertmoed.net/alientim/tesm-license) | der Lizenzserver |
+| [alientim/tesm-license](https://gitea.int.eertmoed.net/alientim/tesm-license) | der Lizenzserver (Sub-Instanzen) |
+| [alientim/tesm-license-master](https://gitea.int.eertmoed.net/alientim/tesm-license-master) | Lizenzserver, Master-Ausgabe (privat) |
 | [alientim/TESM-DEV](https://gitea.int.eertmoed.net/alientim/TESM-DEV) | Entwicklung: beide Anwendungen, Tests, Architekturdoku |

 ## Zweige
@@ -38,10 +39,18 @@ mitbringen.
 ## Installation

 ```bash
-sudo bash deploy/install.sh --app tesm --https
+sudo bash install.sh --app tesm --https
 sudo -u tesm tesm-admin create-admin
 ```

+`install.sh` liegt oben im Paket und genügt auch **allein**: ohne Paket
+drumherum lädt es sich das aktuelle Release selbst.
+
+```bash
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/install.sh
+sudo bash install.sh --app tesm --https
+```
+
 Danach `https://<host>/`. Ohne `--domain` entsteht ein selbstsigniertes
 Zertifikat; der Browser warnt einmal, die Verbindung ist verschlüsselt.

@@ -152,3 +161,19 @@ anders gelöst ist. Die wichtigsten:
 * **Zwei Installationen stören sich nicht** -- eigener `SITE_KEY` für
  nginx-Site, netplan, logrotate, Zertifikate und Sitzungscookie.
 * **Verschachtelte Datenbankverbindungen sind ein Fehler**, kein Deadlock.
+
+---
+
+## Von einer Installation der Fassung 1.x
+
+Eine einzelne Datei genügt -- sie lädt das Release selbst:
+
+```bash
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/upgrade.sh
+sudo bash upgrade.sh --app tesm
+```
+
+Sichert die alte Installation, schaltet sie ab, installiert diese Fassung und
+übernimmt die Daten. Einzelheiten und was **nicht** mitkommt:
+[docs/BETRIEB.md](docs/BETRIEB.md).
+
@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"

 [project]
 name = "tesm"
-version = "2.0.4"
+version = "2.8.0"
 description = "TESM -- Verwaltung und Ueberwachung von PoE-Endgeraeten und Aruba-Switchen"
 requires-python = ">=3.11"
 dependencies = [
@@ -19,11 +19,24 @@ from tesm_core.extension import core
 from tesm_core.views import trash as trash_views

 from .navigation import NAVIGATION
-from .permissions import PERMISSIONS, ROLE_PRESETS
+from .permissions import DHCP_PAGE, PERMISSIONS, ROLE_PRESETS
 from .schema import TESM_MIGRATIONS
 from .settings_spec import TESM_SETTINGS

-__version__ = "2.0.2"
+#: Version aus den Metadaten des installierten Pakets -- die einzige Quelle
+#: ist ``pyproject.toml``. Vorher stand hier eine feste Zahl, und die
+#: Fusszeile zeigte vier Releases lang 2.0.2.
+#:
+#: Im Quellbaum ohne ``pip install`` gibt es keine Metadaten; dann steht dort
+#: "unbekannt" statt einer erfundenen Nummer. In einem editierbaren Install
+#: zeigt sie den Stand des letzten ``pip install -e`` -- also die Version, die
+#: tatsaechlich installiert ist.
+try:  # pragma: no cover - haengt an der Installationsart
+    from importlib.metadata import PackageNotFoundError, version as _paketversion
+
+    __version__ = _paketversion("tesm")
+except (ImportError, PackageNotFoundError):  # pragma: no cover
+    __version__ = "unbekannt"

 APP_KEY = "tesm"
 APP_NAME = "TESM"
@@ -32,10 +45,12 @@ APP_EDITION = "Geraeteverwaltung"
 #: Funktionszeile unter der Wortmarke auf der Anmeldeseite. Uebernommen vom
 #: Vorgaenger, wo sie Teil des Hintergrundmotivs war -- sie sagt in einer Zeile,
 #: was die Anwendung tut, und das gehoert auf die erste Seite.
-AUTH_TAGLINE = (
-    "UEBERWACHEN · BOOTEN · ANBINDEN (DHCP) · "
-    "BETRIEBSSYSTEM GEBEN (PXE)"
-)
+#: Zeile unter der Wortmarke auf den Anmeldeseiten. Kurz gehalten: sie ist
+#: eine Marke, keine Funktionsliste. "(PXE)" stand ausserdem fuer etwas, das
+#: es noch nicht gibt -- das Anmeldebanner hat es aus demselben Grund nie
+#: gezeigt. Wortgleich in ``deploy/tesm-motd``; ein Hygienetest haelt beides
+#: zusammen.
+AUTH_TAGLINE = "ÜBERWACHEN · BOOTEN · ANBINDEN"
 ENV_PREFIX = "TESM_"

 logger = logging.getLogger(__name__)
@@ -149,7 +164,7 @@ def _mount_shares_after_login(conn: Any, user: Any, secret: str, group_dns: tupl
            group_dns=group_dns,
        )
    for message in messages:
-        current_app.logger.info("Dateifreigabe fuer %s -- %s", user.username, message)
+        current_app.logger.info("Dateifreigabe für %s | %s", user.username, message)


 def _release_shares_on_logout(conn: Any, user: Any) -> None:
@@ -159,14 +174,19 @@ def _release_shares_on_logout(conn: Any, user: Any) -> None:
    dem Abmelden bestehen, waere sein Zugriff weiter offen -- bis irgendwann
    die Zeitgrenze greift. Das ist zu lange.
    """
+    from flask import session
+
    from .services import fileshare

    extension = core()
+    # Nur die Einbindungen dieser Sitzung: wer an zwei Geraeten angemeldet ist,
+    # soll am zweiten weiterarbeiten koennen.
+    sitzung = str(getattr(session, "sid", "") or "")
    with extension.database.transaction(conn):
-        released = fileshare.release_all_for_user(conn, user.id)
+        released = fileshare.release_all_for_user(conn, user.id, sitzung)
    if released:
        current_app.logger.info(
-            "Dateifreigaben fuer %s geloest: %d", user.username, released
+            "Dateifreigaben für %s gelöst: %d", user.username, released
        )


@@ -185,24 +205,24 @@ def _status_pills(user: Any) -> list[dict[str, str]]:

    # Timer bis zum naechsten Durchlauf, mit Knopf fuer "sofort pruefen". Der
    # Knopf gehoert in die Pille, weil er genau die Angabe daneben zuruecksetzt.
-    if user.has_any(("devices.view", "monitoring.view")):
+    if user.has_any(("devices.read", "monitoring.read")):
        intervall = int(extension.settings.get(verbindung, "monitor_interval_seconds") or 300)
        faellig = monitor.next_check_at(verbindung, intervall)
        if faellig is not None:
            eintrag = {
-                "label": "Naechste Pruefung in",
+                "label": "Nächste Prüfung in",
                "countdown_to": faellig.isoformat(),
                "countdown_done": "jetzt",
                "css_class": "",
                "dot": "1",
                "dot_class": "",
-                "title": f"Der Ueberwachungsdienst prueft alle {intervall} Sekunden.",
+                "title": f"Der Überwachungsdienst prüft alle {intervall} Sekunden.",
            }
            if user.has("settings_system.execute"):
                from flask import url_for

                eintrag["action"] = url_for("settings.run_check_now")
-                eintrag["action_title"] = "Alle Clients sofort pruefen"
+                eintrag["action_title"] = "Alle Clients sofort prüfen"
            pills.append(eintrag)

    counts = monitor.dashboard_counts(verbindung)
@@ -213,11 +233,11 @@ def _status_pills(user: Any) -> list[dict[str, str]]:
                "css_class": "status-pill--danger",
                "dot": "1",
                "dot_class": "status-pill__dot--pulse",
-                "title": "Geraete, die beim letzten Durchlauf nicht geantwortet haben.",
+                "title": "Geräte, die beim letzten Durchlauf nicht geantwortet haben.",
            }
        )

-    if user.has_any(("dhcp.view", "dhcp.edit")) and extension.license is not None:
+    if user.has_any(DHCP_PAGE) and extension.license is not None:
        if extension.license.module_active("dhcp") and extension.sysops is not None:
            state = extension.sysops.service_state(kea.SERVICE_UNIT)
            if state["installed"] == "ja":
@@ -250,7 +270,7 @@ def _register_trash_providers(app: Flask) -> None:
                    conn, "devices", int(ident), unique_column="mac"
                ),
                purge_fn=lambda conn, ident: inventory.purge_row(conn, "devices", int(ident)),
-                hint="Die MAC-Adresse bleibt reserviert, solange das Geraet hier liegt.",
+                hint="Die MAC-Adresse bleibt reserviert, solange das Gerät hier liegt.",
            )
        )
        trash_views.register(
@@ -279,7 +299,7 @@ def _register_trash_providers(app: Flask) -> None:
                    conn, "credentials", int(ident), unique_column="name"
                ),
                purge_fn=lambda conn, ident: inventory.purge_row(conn, "credentials", int(ident)),
-                hint="Endgueltiges Loeschen entfernt auch das gespeicherte Passwort.",
+                hint="Endgültiges Löschen entfernt auch das gespeicherte Passwort.",
            )
        )

@@ -295,7 +315,7 @@ def _startup_tasks(app: Flask) -> None:
    extension = core(app)
    if not extension.config.web_process:
        logger.info(
-            "Startaufgaben uebersprungen -- dieser Prozess ist nicht als Webprozess markiert."
+            "Startaufgaben übersprungen – dieser Prozess ist nicht als Webprozess markiert."
        )
        return

@@ -308,7 +328,7 @@ def _startup_tasks(app: Flask) -> None:
        # die Oberflaeche Freigaben, die es nicht gibt.
        vergessen = fileshare.forget_all_mounts(conn)
    if orphaned:
-        logger.warning("%s unterbrochene Wartungsauftraege als unklar markiert", orphaned)
+        logger.warning("%s unterbrochene Wartungsaufträge als unklar markiert", orphaned)
    if vergessen:
        logger.info(
            "%s Freigabe-Einbindungen eines vorherigen Prozesses vergessen "
@@ -338,19 +358,32 @@ def _start_fileshare_sweep(app: Flask) -> None:
    weiter eingebunden.
    """
    import threading
+    import time

    from .services import fileshare

+    def einmal() -> None:
+        with app.app_context():
+            geloest = fileshare.sweep_expired(core(app).database)
+        if geloest:
+            logger.info("%s abgelaufene Freigabe-Einbindungen gelöst", geloest)
+
    def schleife() -> None:
-        while True:
-            time.sleep(FILESHARE_SWEEP_SECONDS)
-            try:
-                with app.app_context():
-                    geloest = fileshare.sweep_expired(core(app).database)
-                if geloest:
-                    logger.info("%s abgelaufene Freigabe-Einbindungen geloest", geloest)
-            except Exception:  # noqa: BLE001 - der Webprozess darf nie sterben
-                logger.exception("Aufraeumen der Dateifreigaben fehlgeschlagen")
+        # Zwei Netze: das innere haelt den Faden am Leben, wenn ein einzelner
+        # Durchlauf scheitert; das aeussere sorgt dafuer, dass sein Ende
+        # ueberhaupt auffaellt. Vorher fehlte der Import von "time" -- der
+        # NameError kam beim ersten sleep, also vor jedem try, und der Faden
+        # war weg, ohne eine Zeile zu hinterlassen.
+        try:
+            while True:
+                time.sleep(FILESHARE_SWEEP_SECONDS)
+                try:
+                    einmal()
+                except Exception:  # noqa: BLE001 - der Webprozess darf nie sterben
+                    logger.exception("Aufräumen der Dateifreigaben fehlgeschlagen")
+        except BaseException:  # noqa: BLE001 - auch ein Abbruch gehoert protokolliert
+            logger.exception("Der Aufräumfaden der Dateifreigaben ist beendet")
+            raise

    threading.Thread(target=schleife, name="fileshare-sweep", daemon=True).start()

@@ -13,7 +13,7 @@ from tesm_core.licensing_client import LicenseError

 from ..services import transfer

-bp = Blueprint("backup", __name__, url_prefix="/sicherung")
+bp = Blueprint("backup", __name__, url_prefix="/administration/backup")

 MAX_IMPORT_BYTES = 64 * 1024 * 1024
 PREVIEW_SESSION_KEY = "_import_token"
@@ -37,14 +37,14 @@ def _allowed_categories() -> list[transfer.Category]:
    for category in transfer.CATEGORIES:
        if category.admin_only and not current_user.is_admin:
            continue
-        if category.sensitive and not current_user.has("backup.secrets"):
+        if category.sensitive and not current_user.has("backup_export.secrets"):
            continue
        allowed.append(category)
    return allowed


@bp.get("/")
-@permission_required("backup.view", "backup.export", "backup.execute", mode="any")
+@permission_required("backup_export.read", "backup_import.read", mode="any")
 def overview():
    extension = core()
    conn = db()
@@ -72,13 +72,13 @@ def overview():
        min_passphrase=transfer.MIN_PASSPHRASE_LENGTH,
        preview_ttl=transfer.PREVIEW_TTL_MINUTES,
        license_hint=license_hint,
-        can_secrets=current_user.has("backup.secrets"),
+        can_secrets=current_user.has("backup_export.secrets"),
    )


@bp.post("/export")
-@permission_required("backup.export")
-@reauth_required
+@permission_required("backup_export.export")
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def export():
    extension = core()
    conn = db()
@@ -92,16 +92,16 @@ def export():
    allowed = {category.key for category in _allowed_categories()}
    chosen = [key for key in request.form.getlist("categories") if key in allowed]
    if not chosen:
-        flash("Es wurde keine Kategorie ausgewaehlt.", "warning")
+        flash("Es wurde keine Kategorie ausgewählt.", "warning")
        return redirect(url_for("backup.overview"))

    include_secrets = (
-        request.form.get("include_secrets") == "1" and current_user.has("backup.secrets")
+        request.form.get("include_secrets") == "1" and current_user.has("backup_export.secrets")
    )
    passphrase = request.form.get("passphrase") or ""
    repeat = request.form.get("passphrase_repeat") or ""
    if passphrase != repeat:
-        flash("Die beiden Passphrasen stimmen nicht ueberein.", "danger")
+        flash("Die beiden Passphrasen stimmen nicht überein.", "danger")
        return redirect(url_for("backup.overview"))

    try:
@@ -129,18 +129,18 @@ def export():
    )


-@bp.post("/import/vorschau")
-@permission_required("backup.execute")
+@bp.post("/import/preview")
+@permission_required("backup_import.execute")
@reauth_required
 def import_preview():
    conn = db()
    upload = request.files.get("backup_file")
    if upload is None or not upload.filename:
-        flash("Keine Datei ausgewaehlt.", "danger")
+        flash("Keine Datei ausgewählt.", "danger")
        return redirect(url_for("backup.overview"))
    raw = upload.stream.read(MAX_IMPORT_BYTES + 1)
    if len(raw) > MAX_IMPORT_BYTES:
-        flash("Die Datei ist zu gross.", "danger")
+        flash("Die Datei ist zu groß.", "danger")
        return redirect(url_for("backup.overview"))

    try:
@@ -154,28 +154,28 @@ def import_preview():
    session[PREVIEW_SESSION_KEY] = token
    _audit("backup.import_previewed", f"Erstellt {header.get('created_at')}", severity="notice")
    flash(
-        f"Datei geoeffnet. Sie haben {transfer.PREVIEW_TTL_MINUTES} Minuten Zeit, die "
-        "Uebernahme zu bestaetigen.",
+        f"Datei geöffnet. Sie haben {transfer.PREVIEW_TTL_MINUTES} Minuten Zeit, die "
+        "Übernahme zu bestätigen.",
        "success",
    )
    return redirect(url_for("backup.overview"))


-@bp.post("/import/uebernehmen")
-@permission_required("backup.execute")
+@bp.post("/import/apply")
+@permission_required("backup_import.execute")
@reauth_required
 def import_apply():
    extension = core()
    conn = db()
    token = session.get(PREVIEW_SESSION_KEY, "")
    if not token:
-        flash("Es liegt keine geoeffnete Sicherung vor.", "danger")
+        flash("Es liegt keine geöffnete Sicherung vor.", "danger")
        return redirect(url_for("backup.overview"))

    allowed = {category.key for category in _allowed_categories()}
    chosen = [key for key in request.form.getlist("categories") if key in allowed]
    if not chosen:
-        flash("Es wurde keine Kategorie ausgewaehlt.", "warning")
+        flash("Es wurde keine Kategorie ausgewählt.", "warning")
        return redirect(url_for("backup.overview"))

    try:
@@ -206,7 +206,7 @@ def import_apply():
            action="backup.imported",
            detail="; ".join(
                f"{key}: {counts['created']} neu, {counts['updated']} aktualisiert, "
-                f"{counts['skipped']} uebersprungen"
+                f"{counts['skipped']} übersprungen"
                for key, counts in report.items()
            ),
            ip=client_ip(),
@@ -217,16 +217,16 @@ def import_apply():
    lines = [
        f"{transfer.CATEGORY_BY_KEY[key].label}: {counts['created']} neu, "
        f"{counts['updated']} aktualisiert"
-        + (f", {counts['skipped']} uebersprungen" if counts["skipped"] else "")
+        + (f", {counts['skipped']} übersprungen" if counts["skipped"] else "")
        for key, counts in report.items()
        if key in transfer.CATEGORY_BY_KEY
    ]
-    flash("Uebernahme abgeschlossen. " + " | ".join(lines), "success")
+    flash("Übernahme abgeschlossen. " + " – ".join(lines), "success")
    return redirect(url_for("backup.overview"))


-@bp.post("/import/verwerfen")
-@permission_required("backup.execute")
+@bp.post("/import/discard")
+@permission_required("backup_import.execute")
 def import_discard():
    token = session.pop(PREVIEW_SESSION_KEY, "")
    if token:
@@ -6,13 +6,13 @@ from typing import Any

 from flask import Blueprint, abort, flash, redirect, render_template, request, url_for
 from tesm_core import audit
-from tesm_core.auth.models import current_user, permission_required, reauth_required
+from tesm_core.auth.models import current_user, permission_required
 from tesm_core.auth.service import client_ip
 from tesm_core.extension import core, db, transaction

 from ..services import inventory

-bp = Blueprint("credentials", __name__, url_prefix="/zugangsdaten")
+bp = Blueprint("credentials", __name__, url_prefix="/monitoring/credentials")


 def _audit(conn: Any, action: str, target: str, detail: str = "", severity: str = "info") -> None:
@@ -29,7 +29,7 @@ def _audit(conn: Any, action: str, target: str, detail: str = "", severity: str


@bp.get("/")
-@permission_required("credentials.view")
+@permission_required("credentials.read")
 def overview():
    conn = db()
    return render_template(
@@ -39,7 +39,7 @@ def overview():
    )


-@bp.post("/neu")
+@bp.post("/new")
@permission_required("credentials.create")
 def create():
    try:
@@ -62,7 +62,7 @@ def create():


@bp.post("/<int:credential_id>")
-@permission_required("credentials.edit")
+@permission_required("credentials.write")
 def update(credential_id: int):
    try:
        with transaction() as conn:
@@ -85,13 +85,13 @@ def update(credential_id: int):
                    "; ".join(changes),
                    severity="notice",
                )
-        flash("Aenderungen gespeichert." if changes else "Keine Aenderungen.", "success" if changes else "info")
+        flash("Änderungen gespeichert." if changes else "Keine Änderungen.", "success" if changes else "info")
    except inventory.ValidationError as exc:
        flash(str(exc), "danger")
    return redirect(url_for("credentials.overview"))


-@bp.post("/<int:credential_id>/loeschen")
+@bp.post("/<int:credential_id>/delete")
@permission_required("credentials.delete")
 def delete(credential_id: int):
    try:
@@ -109,9 +109,9 @@ def delete(credential_id: int):
    return redirect(url_for("credentials.overview"))


-@bp.post("/<int:credential_id>/anzeigen")
+@bp.post("/<int:credential_id>/reveal")
@permission_required("credentials.secrets")
-@reauth_required
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def reveal(credential_id: int):
    """Zeigt ein gespeichertes Passwort im Klartext.

@@ -43,7 +43,7 @@ def _tiles(*, authenticated: bool) -> dict[str, Any]:
    counts = monitor.dashboard_counts(conn)
    rows = inventory.list_devices(conn, only_active=not authenticated)

-    detailed = authenticated and current_user.has("devices.view")
+    detailed = authenticated and current_user.has("devices.read")
    tiles: list[dict[str, Any]] = []
    for row in rows:
        entry: dict[str, Any] = {
@@ -67,8 +67,12 @@ def _tiles(*, authenticated: bool) -> dict[str, Any]:
                    "credential_category": str(row["credential_category"] or ""),
                    # Nicht nur PoE: ein Geraet kann auch ueber SSH oder RPC
                    # neu startbar sein. Die Kachel zeigt den bevorzugten Weg.
+                    # Mit Rechtefilter: die Kachel zeigt nur Wege, die
+                    # dieser Benutzer auch ausloesen darf.
                    "restart_methods": restart.available(
-                        row, maintenance_active=_maintenance_active()
+                        row,
+                        maintenance_active=_maintenance_active(),
+                        darf=current_user.has,
                    ),
                }
            )
@@ -80,7 +84,7 @@ def _tiles(*, authenticated: bool) -> dict[str, Any]:
            # erwartbar weg. Wer die Uebersicht ansieht, will genau das zuerst
            # wissen -- sonst haelt er einen laufenden Neustart fuer einen Ausfall.
            "key": "restarting",
-            "label": "Neustart laeuft",
+            "label": "Neustart läuft",
            "kind": "warning",
            "tiles": [tile for tile in tiles if tile["state"] == "restarting"],
        },
@@ -98,7 +102,7 @@ def _tiles(*, authenticated: bool) -> dict[str, Any]:
        },
        {
            "key": "unknown",
-            "label": "Noch nicht geprueft",
+            "label": "Noch nicht geprüft",
            "kind": "warning",
            "tiles": [tile for tile in tiles if tile["state"] == "unknown"],
        },
@@ -121,7 +125,7 @@ def _tiles(*, authenticated: bool) -> dict[str, Any]:
    }


-@bp.get("/uebersicht")
+@bp.get("/overview")
 def index():
    from tesm_core.auth.models import current_user

@@ -138,7 +142,7 @@ def index_view():
    return index()


-@bp.get("/uebersicht/kacheln")
+@bp.get("/overview/tiles")
@fragment
 def tiles():
    """Teilbereich fuer die automatische Aktualisierung -- liefert nur HTML-Fragment."""
@@ -20,7 +20,7 @@ from tesm_core.extension import core, db, transaction

 from ..services import inventory, monitor, restart, ssh

-bp = Blueprint("devices", __name__, url_prefix="/clients")
+bp = Blueprint("devices", __name__, url_prefix="/monitoring/clients")


 def _audit(conn: Any, action: str, target: str, detail: str = "", severity: str = "info") -> None:
@@ -60,7 +60,7 @@ def _form_values() -> dict[str, Any]:


@bp.get("/")
-@permission_required("devices.view")
+@permission_required("devices.read")
 def overview():
    conn = db()
    devices = inventory.list_devices(conn)
@@ -100,7 +100,7 @@ def _credential_from_form(conn: Any) -> int | None:
        )
    name = (request.form.get("new_credential_name") or "").strip()
    if not name:
-        raise inventory.ValidationError("Fuer neue Zugangsdaten wird eine Bezeichnung gebraucht.")
+        raise inventory.ValidationError("Für neue Zugangsdaten wird eine Bezeichnung gebraucht.")
    return inventory.create_credential(
        conn,
        core().keystore,
@@ -108,12 +108,12 @@ def _credential_from_form(conn: Any) -> int | None:
        username=(request.form.get("new_credential_username") or "").strip(),
        secret=request.form.get("new_credential_secret") or "",
        category=request.form.get("new_credential_category", "linux"),
-        description="Beim Anlegen eines Geraets erfasst.",
+        description="Beim Anlegen eines Geräts erfasst.",
        actor=current_user.username,
    )


-@bp.post("/neu")
+@bp.post("/new")
@permission_required("devices.create")
 def create():
    try:
@@ -130,7 +130,7 @@ def create():
                f"MAC {request.form.get('mac')}, IP {request.form.get('ip')}",
                severity="notice",
            )
-        flash("Geraet angelegt.", "success")
+        flash("Gerät angelegt.", "success")
        return redirect(url_for("devices.overview", highlight=device_id))
    except inventory.ValidationError as exc:
        flash(str(exc), "danger")
@@ -138,7 +138,7 @@ def create():


@bp.post("/<int:device_id>")
-@permission_required("devices.edit")
+@permission_required("devices.write")
 def update(device_id: int):
    try:
        with transaction() as conn:
@@ -155,14 +155,14 @@ def update(device_id: int):
                    "; ".join(changes),
                    severity="notice",
                )
-        flash("Aenderungen gespeichert." if changes else "Keine Aenderungen.", "success" if changes else "info")
+        flash("Änderungen gespeichert." if changes else "Keine Änderungen.", "success" if changes else "info")
    except inventory.ValidationError as exc:
        flash(str(exc), "danger")
    return redirect(url_for("devices.overview"))


-@bp.post("/<int:device_id>/aktiv")
-@permission_required("devices.edit")
+@bp.post("/<int:device_id>/active")
+@permission_required("devices.write")
 def toggle_active(device_id: int):
    active = request.form.get("active") == "1"
    with transaction() as conn:
@@ -176,11 +176,11 @@ def toggle_active(device_id: int):
            str(device["name"]),
            severity="notice",
        )
-    flash("Geraet aktiviert." if active else "Geraet deaktiviert.", "success")
+    flash("Gerät aktiviert." if active else "Gerät deaktiviert.", "success")
    return redirect(request.referrer or url_for("devices.overview"))


-@bp.post("/<int:device_id>/loeschen")
+@bp.post("/<int:device_id>/delete")
@permission_required("devices.delete")
 def delete(device_id: int):
    with transaction() as conn:
@@ -189,12 +189,17 @@ def delete(device_id: int):
            abort(404)
        inventory.delete_device(conn, device_id)
        _audit(conn, "device.deleted", str(device["name"]), severity="warning")
-    flash("Geraet in den Papierkorb verschoben.", "success")
+    flash("Gerät in den Papierkorb verschoben.", "success")
    return redirect(url_for("devices.overview"))


-@bp.post("/<int:device_id>/neustart")
-@permission_required("devices.execute")
+@bp.post("/<int:device_id>/restart")
+# Die Seite darf sehen, wer Clients sehen darf; welcher Weg offensteht,
+# entscheidet das Recht des Weges -- geprueft in restart.resolve() ueber
+# "darf". Ein Weg, den der Benutzer nicht ausloesen darf, existiert fuer ihn
+# nicht, und die Antwort ist dieselbe wie bei einem technisch unmoeglichen:
+# "dieser Weg steht nicht zur Verfuegung".
+@permission_required("devices.read")
 def restart_device(device_id: int):
    """Startet ein Geraet neu -- ueber den Weg, der dafuer gewaehlt wurde.

@@ -214,19 +219,22 @@ def restart_device(device_id: int):
        dict(device),
        (request.form.get("method") or "").strip(),
        maintenance_active=maintenance_active,
+        darf=current_user.has,
    )
    if method is None:
-        options = restart.available(dict(device), maintenance_active=maintenance_active)
+        options = restart.available(
+            dict(device), maintenance_active=maintenance_active, darf=current_user.has
+        )
        if options:
            flash(
-                "Der gewaehlte Weg steht fuer dieses Geraet nicht zur Verfuegung. "
-                "Moeglich waere: " + ", ".join(entry.label for entry in options),
+                "Der gewählte Weg steht für dieses Gerät nicht zur Verfügung. "
+                "Möglich wäre: " + ", ".join(entry.label for entry in options),
                "warning",
            )
        else:
            flash(
-                f"Fuer {device['name']} ist kein Neustart moeglich: es fehlen Switch und Port "
-                "fuer den PoE-Weg und passende Zugangsdaten fuer SSH oder RPC.",
+                f"Für {device['name']} ist kein Neustart möglich: es fehlen Switch und Port "
+                "für den PoE-Weg und passende Zugangsdaten für SSH oder RPC.",
                "warning",
            )
        return redirect(request.referrer or url_for("devices.overview"))
@@ -262,7 +270,7 @@ def _restart_over_poe(extension: Any, conn: Any, device: Any):  # type: ignore[n
        return redirect(request.referrer or url_for("devices.overview"))

    flash(
-        f"PoE-Neustart fuer {device['name']} durchgefuehrt."
+        f"PoE-Neustart für {device['name']} durchgeführt."
        if outcome["ok"]
        else f"PoE-Neustart fehlgeschlagen: {outcome['message']}",
        "success" if outcome["ok"] else "danger",
@@ -319,14 +327,14 @@ def _restart_as_job(extension: Any, conn: Any, device: Any, method: Any):  # typ
        method=method.key,
    )
    flash(
-        f"{method.label} fuer {device['name']} gestartet. Der Verlauf steht unter Wartung.",
+        f"{method.label} für {device['name']} gestartet. Der Verlauf steht unter Wartung.",
        "success",
    )
    return redirect(request.referrer or url_for("devices.overview"))


@bp.get("/<int:device_id>")
-@permission_required("devices.view")
+@permission_required("devices.read")
 def detail(device_id: int):
    conn = db()
    device = inventory.get_device(conn, device_id)
@@ -351,7 +359,7 @@ def detail(device_id: int):
        categories=inventory.DEVICE_CATEGORIES,
        host_keys=host_keys,
        method_labels=monitor.METHOD_LABELS,
-        terminal_enabled=bool(extension.settings.get(conn, "terminal_enabled")),
+        terminal_enabled=bool(extension.settings.get(conn, "terminal_clients_enabled")),
    )


@@ -360,8 +368,8 @@ def detail(device_id: int):
 # --------------------------------------------------------------------------- #


-@bp.post("/<int:device_id>/hostkey/pruefen")
-@permission_required("devices.edit")
+@bp.post("/<int:device_id>/host-key/probe")
+@permission_required("devices.write")
 def probe_host_key(device_id: int):
    """Liest den Host-Schluessel des Clients, ohne sich anzumelden.

@@ -390,8 +398,8 @@ def probe_host_key(device_id: int):
    )


-@bp.post("/<int:device_id>/hostkey/freigeben")
-@permission_required("devices.edit")
+@bp.post("/<int:device_id>/host-key/trust")
+@permission_required("devices.write")
@reauth_required
 def trust_host_key(device_id: int):
    conn = db()
@@ -401,7 +409,7 @@ def trust_host_key(device_id: int):
    key_type = (request.form.get("key_type") or "").strip()
    fingerprint = (request.form.get("fingerprint") or "").strip()
    if not key_type or not ssh.valid_fingerprint(fingerprint):
-        flash("Es wurde kein gueltiger Fingerprint uebergeben.", "danger")
+        flash("Es wurde kein gültiger Fingerprint übergeben.", "danger")
        return redirect(url_for("devices.detail", device_id=device_id))

    with transaction():
@@ -420,12 +428,12 @@ def trust_host_key(device_id: int):
            f"{key_type} {fingerprint}",
            severity="notice",
        )
-    flash("Host-Schluessel freigegeben.", "success")
+    flash("Host-Schlüssel freigegeben.", "success")
    return redirect(url_for("devices.detail", device_id=device_id))


-@bp.post("/<int:device_id>/hostkey/verwerfen")
-@permission_required("devices.edit")
+@bp.post("/<int:device_id>/host-key/forget")
+@permission_required("devices.write")
 def forget_host_key(device_id: int):
    conn = db()
    device = inventory.get_device(conn, device_id)
@@ -434,5 +442,5 @@ def forget_host_key(device_id: int):
    with transaction():
        ssh.forget_key(conn, str(device["ip"]), int(device["ssh_port"] or 22))
        _audit(conn, "device.host_key_forgotten", str(device["name"]), severity="warning")
-    flash("Gespeicherte Host-Schluessel entfernt.", "info")
+    flash("Gespeicherte Host-Schlüssel entfernt.", "info")
    return redirect(url_for("devices.detail", device_id=device_id))
@@ -21,6 +21,7 @@ from tesm_core.db import Database
 from tesm_core.extension import core, db, transaction

 from ..services import kea
+from ..permissions import DHCP_PAGE

 bp = Blueprint("dhcp", __name__, url_prefix="/dhcp")

@@ -53,7 +54,7 @@ def _settings_values() -> dict[str, Any]:


@bp.get("/")
-@permission_required("dhcp.view", "dhcp.edit", "dhcp.execute", mode="any")
+@permission_required(*DHCP_PAGE, mode="any")
 def overview():
    extension = core()
    conn = db()
@@ -105,8 +106,8 @@ def overview():
 # --------------------------------------------------------------------------- #


-@bp.post("/einstellungen")
-@permission_required("dhcp.edit")
+@bp.post("/settings")
+@permission_required("dhcp_subnets.write")
 def save_settings():
    extension = core()
    conn = db()
@@ -118,12 +119,12 @@ def save_settings():
    with transaction():
        changed = extension.settings.set_many(conn, values, actor=current_user.username)
    _audit("dhcp.settings_saved", detail=", ".join(changed), severity="notice")
-    flash("Einstellungen gespeichert." if changed else "Keine Aenderungen.", "success" if changed else "info")
+    flash("Einstellungen gespeichert." if changed else "Keine Änderungen.", "success" if changed else "info")
    return _write_and_redirect()


-@bp.post("/subnetz")
-@permission_required("dhcp.edit")
+@bp.post("/subnet")
+@permission_required("dhcp_subnets.create")
 def add_subnet():
    extension = core()
    conn = db()
@@ -158,8 +159,8 @@ def add_subnet():
    return _write_and_redirect()


-@bp.post("/subnetz/<int:subnet_id>")
-@permission_required("dhcp.edit")
+@bp.post("/subnet/<int:subnet_id>")
+@permission_required("dhcp_subnets.write")
 def update_subnet(subnet_id: int):
    extension = core()
    conn = db()
@@ -173,6 +174,9 @@ def update_subnet(subnet_id: int):
        flash(problem, "danger")
        return redirect(url_for("dhcp.overview"))

+    # Vor der Aenderung lesen -- danach ist der alte Stand weg, und "Subnetz
+    # gespeichert" allein sagt nicht, was vorher eingestellt war.
+    vorher = Database.one(conn, "SELECT * FROM dhcp_subnets WHERE id=?", (subnet_id,))
    with transaction():
        conn.execute(
            "UPDATE dhcp_subnets SET interface=?, range_start=?, range_end=?, gateway=?, dns=?, "
@@ -189,13 +193,32 @@ def update_subnet(subnet_id: int):
                subnet_id,
            ),
        )
-    _audit("dhcp.subnet_updated", str(subnet_id), severity="notice")
+    nachher = Database.one(conn, "SELECT * FROM dhcp_subnets WHERE id=?", (subnet_id,))
+    _audit(
+        "dhcp.subnet_updated",
+        f"{interface} {start}-{end}",
+        audit.diff(
+            vorher,
+            nachher,
+            felder=(
+                ("interface", "Schnittstelle"),
+                ("range_start", "Von"),
+                ("range_end", "Bis"),
+                ("gateway", "Gateway"),
+                ("dns", "DNS"),
+                ("comment", "Kommentar"),
+                ("enabled", "Aktiv"),
+            ),
+        )
+        or "keine inhaltliche Änderung",
+        severity="notice",
+    )
    flash("Subnetz gespeichert.", "success")
    return _write_and_redirect()


-@bp.post("/subnetz/<int:subnet_id>/loeschen")
-@permission_required("dhcp.edit")
+@bp.post("/subnet/<int:subnet_id>/delete")
+@permission_required("dhcp_subnets.delete")
 def delete_subnet(subnet_id: int):
    with transaction() as conn:
        conn.execute("DELETE FROM dhcp_subnets WHERE id=?", (subnet_id,))
@@ -209,8 +232,8 @@ def delete_subnet(subnet_id: int):
 # --------------------------------------------------------------------------- #


-@bp.post("/option/wert")
-@permission_required("dhcp.edit")
+@bp.post("/option/value")
+@permission_required("dhcp_options.write")
 def set_option_value():
    conn = db()
    option_id = int(request.form.get("option_id") or 0)
@@ -248,8 +271,8 @@ def _device_option_values(conn) -> dict[int, list[dict[str, Any]]]:  # type: ign
    return gruppen


-@bp.post("/option/geraet")
-@permission_required("dhcp.edit")
+@bp.post("/option/device")
+@permission_required("dhcp_options.write")
 def set_device_option_value():
    """Setzt eine Option fuer ein einzelnes Geraet.

@@ -289,15 +312,15 @@ def set_device_option_value():
        value or "(geleert)",
    )
    flash(
-        f"Option {option['name']} fuer {device['name']} "
+        f"Option {option['name']} für {device['name']} "
        f"{'gespeichert' if value else 'entfernt'}.",
        "success",
    )
    return _write_and_redirect()


-@bp.post("/option/neu")
-@permission_required("dhcp.edit")
+@bp.post("/option/new")
+@permission_required("dhcp_options.write")
 def add_custom_option():
    conn = db()
    try:
@@ -327,8 +350,8 @@ def add_custom_option():
    return redirect(url_for("dhcp.overview"))


-@bp.post("/option/<int:option_id>/loeschen")
-@permission_required("dhcp.edit")
+@bp.post("/option/<int:option_id>/delete")
+@permission_required("dhcp_options.write")
 def delete_custom_option(option_id: int):
    conn = db()
    option = Database.one(conn, "SELECT * FROM dhcp_options WHERE id=?", (option_id,))
@@ -336,7 +359,7 @@ def delete_custom_option(option_id: int):
        abort(404)
    if int(option["is_standard"] or 0):
        flash(
-            "Standardoptionen koennen nicht geloescht werden -- nur ihr Wert lasst sich leeren.",
+            "Standardoptionen können nicht gelöscht werden – nur ihr Wert lässt sich leeren.",
            "danger",
        )
        return redirect(url_for("dhcp.overview"))
@@ -352,14 +375,14 @@ def delete_custom_option(option_id: int):
 # --------------------------------------------------------------------------- #


-@bp.post("/reservierung")
-@permission_required("dhcp.edit")
+@bp.post("/reservation")
+@permission_required("dhcp_reservations.create")
 def add_reservation():
    conn = db()
    mac = kea.normalize_mac(request.form.get("mac", ""))
    ip = (request.form.get("ip") or "").strip()
    if not mac:
-        flash("Die MAC-Adresse ist ungueltig.", "danger")
+        flash("Die MAC-Adresse ist ungültig.", "danger")
        return redirect(url_for("dhcp.overview"))

    # Eine Reservierung ausserhalb aller eingerichteten Bereiche liefert Kea nie
@@ -367,7 +390,7 @@ def add_reservation():
    # schlechteste der drei Moeglichkeiten -- deshalb hier ablehnen.
    if not Database.value(conn, "SELECT COUNT(*) FROM dhcp_subnets WHERE enabled=1"):
        flash(
-            "Es ist noch kein Bereich eingerichtet. Legen Sie zuerst ein Subnetz an -- "
+            "Es ist noch kein Bereich eingerichtet. Legen Sie zuerst ein Subnetz an – "
            "ohne eines wird keine Reservierung ausgeliefert.",
            "danger",
        )
@@ -380,7 +403,7 @@ def add_reservation():
        # keine Reservierung mehr moeglich. Stattdessen benennen, was ungeprueft
        # bleibt.
        flash(
-            "Der Bereich konnte nicht geprueft werden -- ohne Systemhelfer ist das Netz "
+            "Der Bereich konnte nicht geprüft werden – ohne Systemhelfer ist das Netz "
            "dieses Servers nicht feststellbar.",
            "warning",
        )
@@ -390,11 +413,12 @@ def add_reservation():
            bereiche = ", ".join(str(netz) for netz in netze)
            flash(
                f"{ip or 'Diese Adresse'} liegt in keinem eingerichteten Bereich "
-                f"({bereiche}). Die Reservierung waere ohne Wirkung.",
+                f"({bereiche}). Die Reservierung wäre ohne Wirkung.",
                "danger",
            )
            return redirect(url_for("dhcp.overview"))

+    vorher = Database.one(conn, "SELECT * FROM dhcp_reservations WHERE mac=?", (mac,))
    with transaction():
        conn.execute(
            "INSERT INTO dhcp_reservations (mac, ip, hostname, comment, created_at) "
@@ -407,13 +431,24 @@ def add_reservation():
                (request.form.get("comment") or "").strip(),
            ),
        )
-    _audit("dhcp.reservation_saved", f"{mac} -> {ip}", severity="notice")
+    nachher = Database.one(conn, "SELECT * FROM dhcp_reservations WHERE mac=?", (mac,))
+    _audit(
+        "dhcp.reservation_saved",
+        mac,
+        audit.diff(
+            vorher,
+            nachher,
+            felder=(("ip", "IP"), ("hostname", "Hostname"), ("comment", "Kommentar")),
+        )
+        or f"neu angelegt: {ip}",
+        severity="notice",
+    )
    flash("Reservierung gespeichert.", "success")
    return _write_and_redirect()


-@bp.post("/reservierung/<int:reservation_id>/loeschen")
-@permission_required("dhcp.edit")
+@bp.post("/reservation/<int:reservation_id>/delete")
+@permission_required("dhcp_reservations.delete")
 def delete_reservation(reservation_id: int):
    with transaction() as conn:
        conn.execute("DELETE FROM dhcp_reservations WHERE id=?", (reservation_id,))
@@ -437,14 +472,14 @@ def _write_config() -> dict[str, Any]:
    sysops = extension.sysops
    conn = db()
    if sysops is None or not sysops.available:
-        return {"ok": False, "message": "Systemhelfer nicht verfuegbar."}
+        return {"ok": False, "message": "Systemhelfer nicht verfügbar."}

    networks = kea.detect_networks(sysops)
    config, warnings = kea.render_config(conn, networks=networks, settings=_settings_values())
    if not config["Dhcp4"]["subnet4"]:
        return {
            "ok": False,
-            "message": "Es ist kein gueltiges Subnetz konfiguriert -- die Datei wurde nicht geschrieben.",
+            "message": "Es ist kein gültiges Subnetz konfiguriert – die Datei wurde nicht geschrieben.",
            "warnings": warnings,
        }
    result = sysops.write_kea_config(kea.config_to_text(config))
@@ -480,14 +515,14 @@ def _write_and_redirect():
    return redirect(url_for("dhcp.overview"))


-@bp.post("/schreiben")
-@permission_required("dhcp.edit")
+@bp.post("/write")
+@permission_required("dhcp_config.execute")
 def write_config():
    return _write_and_redirect()


-@bp.post("/dienst/<action>")
-@permission_required("dhcp.execute")
+@bp.post("/service/<action>")
+@permission_required("dhcp_service.execute")
 def service_action(action: str):
    allowed = {"install", "start", "stop"}
    if action not in allowed:
@@ -495,7 +530,7 @@ def service_action(action: str):
    extension = core()
    sysops = extension.sysops
    if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
        return redirect(url_for("dhcp.overview"))

    if action == "install":
@@ -2,7 +2,10 @@

 from __future__ import annotations

+import hashlib
 import io
+import json
+from datetime import datetime, timezone

 from flask import (
    Blueprint,
@@ -18,11 +21,12 @@ from flask import (
 from tesm_core import audit
 from tesm_core.auth.models import current_user, permission_required
 from tesm_core.auth.service import client_ip
+from tesm_core import uploads
 from tesm_core.extension import core, db, transaction

 from ..services import fileshare as service

-bp = Blueprint("fileshare", __name__, url_prefix="/dateifreigaben")
+bp = Blueprint("fileshare", __name__, url_prefix="/fileshares")


@bp.before_request
@@ -46,8 +50,33 @@ def _audit(action: str, target: str, detail: str = "", severity: str = "info") -
        )


+def _unterschriften(roh: str) -> list[str]:
+    """Die Namen aus dem Unterschriftsfeld -- Text, keine Struktur.
+
+    Was hier ankommt, hat der Browser geschickt und damit der Mensch davor.
+    Es wird protokolliert, nicht geglaubt: laenge begrenzt, Zeilenumbrueche
+    raus, mehr passiert damit nicht.
+    """
+    namen: list[str] = []
+    try:
+        eintraege = json.loads(roh) if roh else []
+    except ValueError:
+        return []
+    if not isinstance(eintraege, list):
+        return []
+    for eintrag in eintraege[:20]:
+        name = str(eintrag if isinstance(eintrag, str) else eintrag.get("name", ""))
+        name = " ".join(name.split())[:120]
+        if name:
+            namen.append(name)
+    return namen
+
+
 def _mount_or_404(token: str) -> service.Mount:
-    mounts = service.active_mounts(db(), current_user.id)
+    conn = db()
+    mounts = service.doppelte_zusammenfassen(
+        conn, service.active_mounts(conn, current_user.id), service.aktuelle_sitzung()
+    )
    for mount in mounts:
        if mount.token == token:
            return mount
@@ -55,12 +84,14 @@ def _mount_or_404(token: str) -> service.Mount:


@bp.get("/")
-@permission_required("fileshare.view")
+@permission_required("fileshare.read")
 def browse():
    conn = db()
-    mounts = service.active_mounts(conn, current_user.id)
-    token = request.args.get("freigabe") or (mounts[0].token if mounts else "")
-    relative = request.args.get("pfad") or ""
+    mounts = service.doppelte_zusammenfassen(
+        conn, service.active_mounts(conn, current_user.id), service.aktuelle_sitzung()
+    )
+    token = request.args.get("share") or (mounts[0].token if mounts else "")
+    relative = request.args.get("path") or ""
    listing = None
    error = ""
    if token:
@@ -75,15 +106,27 @@ def browse():
        token=token,
        listing=listing,
        error=error,
-        max_upload_mb=int(core().settings.get(conn, "fileshare_upload_max_mb") or 512),
+        # Dieselbe Zahl, die auch die Anfrage begrenzt und in nginx steht --
+        # vorher versprach diese Seite 512 MB, waehrend bei 64 MB abgebrochen
+        # wurde.
+        max_upload_mb=uploads.limit_mb(conn),
+        # Vorschlagsliste fuer "Ausgefuellt speichern": wohin darf es gehen?
+        verzeichnisse=(service.all_directories(mount) if listing else []),
+        signature_witness=bool(core().settings.get(conn, "signature_witness_enabled")),
+        # Die Uhr des Servers. Das Datum unter einer Unterschrift soll nicht
+        # davon abhaengen, wie das Tablet gestellt ist.
+        serverzeit=datetime.now(timezone.utc).astimezone().isoformat(timespec="seconds"),
    )


-@bp.get("/<token>/herunterladen")
-@permission_required("fileshare.view")
+@bp.get("/<token>/download")
+# Herunterladen traegt Daten aus dem System heraus -- in der Rechtematrix ist
+# das "Exportieren", nicht "Ansehen". Eine Vorschau bleibt im Haus, eine
+# heruntergeladene Datei nicht.
+@permission_required("fileshare.export")
 def download(token: str):
    mount = _mount_or_404(token)
-    relative = request.args.get("pfad") or ""
+    relative = request.args.get("path") or ""
    try:
        path = service.resolve_path(mount, relative)
    except service.FileshareError as exc:
@@ -95,15 +138,20 @@ def download(token: str):
        path,
        as_attachment=True,
        download_name=path.name,
-        mimetype=service.download_mime(path.name),
+        # Bewusst der neutrale Typ und nicht der erkannte: iOS Safari
+        # entscheidet nach dem MIME-Typ und zeigt eine "application/pdf" im
+        # Browser an, auch wenn sie als Anhang ausgeliefert wird. Wer hier
+        # klickt, will die Datei aber ablegen -- angesehen wird sie in der
+        # Vorschau. Fuer alle anderen Browser aendert sich damit nichts.
+        mimetype="application/octet-stream",
    )


-@bp.get("/<token>/vorschau")
-@permission_required("fileshare.view")
+@bp.get("/<token>/preview")
+@permission_required("fileshare.read")
 def preview(token: str):
    mount = _mount_or_404(token)
-    relative = request.args.get("pfad") or ""
+    relative = request.args.get("path") or ""
    try:
        path = service.resolve_path(mount, relative)
        mimetype = service.preview_mime(path.name)
@@ -138,17 +186,17 @@ def preview(token: str):
    )


-@bp.post("/<token>/hochladen")
+@bp.post("/<token>/upload")
@permission_required("fileshare.create")
 def upload(token: str):
    mount = _mount_or_404(token)
-    relative = request.form.get("pfad") or ""
+    relative = request.form.get("path") or ""
    files = request.files.getlist("files")
    if not files:
-        flash("Keine Datei ausgewaehlt.", "danger")
-        return redirect(url_for("fileshare.browse", freigabe=token, pfad=relative))
+        flash("Keine Datei ausgewählt.", "danger")
+        return redirect(url_for("fileshare.browse", share=token, path=relative))

-    limit = int(core().settings.get(db(), "fileshare_upload_max_mb") or 512) * 1024 * 1024
+    limit = uploads.limit_bytes(db())
    stored = 0
    try:
        target_dir = service.resolve_path(mount, relative)
@@ -158,58 +206,239 @@ def upload(token: str):
            name = service.safe_filename(upload_file.filename)
            data = upload_file.stream.read(limit + 1)
            if len(data) > limit:
-                flash(f"{name}: zu gross (Grenze {limit // 1024 // 1024} MB).", "danger")
+                flash(f"{name}: zu groß (Grenze {limit // 1024 // 1024} MB).", "danger")
                continue
            (target_dir / name).write_bytes(data)
            stored += 1
    except service.FileshareError as exc:
        flash(str(exc), "danger")
-        return redirect(url_for("fileshare.browse", freigabe=token, pfad=relative))
+        return redirect(url_for("fileshare.browse", share=token, path=relative))

    if stored:
        _audit("fileshare.uploaded", f"{mount.label}:{relative}", f"{stored} Datei(en)")
        flash(f"{stored} Datei(en) hochgeladen.", "success")
-    return redirect(url_for("fileshare.browse", freigabe=token, pfad=relative))
+    return redirect(url_for("fileshare.browse", share=token, path=relative))


-@bp.post("/<token>/ordner")
+@bp.get("/<token>/signature")
+@permission_required("fileshare.read")
+def signature_state(token: str):
+    """Passt die Datei noch zu ihrem Eintrag im Aenderungsprotokoll?
+
+    Die Vorschau fragt das beim Oeffnen. Eine unterschriebene Fassung, die
+    seither veraendert wurde, sieht man einer PDF sonst nicht an -- und genau
+    das ist die Frage, die man sich vor einer Unterschrift stellt.
+    """
+    mount = _mount_or_404(token)
+    try:
+        return service.signaturstand(db(), mount, request.args.get("path") or "")
+    except service.FileshareError as exc:
+        return {"error": str(exc)}, 400
+
+
+@bp.get("/<token>/folders")
+@permission_required("fileshare.read")
+def folders(token: str):
+    """Die Ordner **dieser** Freigabe als Vorschlagsliste.
+
+    Gebraucht, seit das Speichern in eine andere Freigabe gehen darf: die
+    Vorschlaege muessen der gewaehlten Freigabe folgen. Alle Listen beim
+    Seitenaufbau mitzuschicken waere die Alternative gewesen -- bei vier
+    eingebundenen Freigaben mit je ein paar hundert Ordnern ist das eine
+    viertel Megabyte, die fast nie gebraucht wird.
+    """
+    mount = _mount_or_404(token)
+    return {"folders": service.all_directories(mount)}
+
+
+@bp.post("/<token>/form")
+@permission_required("fileshare_pdf.create")
+def save_form(token: str):
+    """Nimmt ein in der Vorschau ausgefuelltes PDF und legt es daneben ab.
+
+    Als **neue** Datei: auf einer Freigabe liegt in der Regel die leere
+    Vorlage, und die soll leer bleiben. Wer das Original ersetzen will, kann
+    die alte Datei danach loeschen -- das ist eine bewusste Handlung.
+    """
+    mount = _mount_or_404(token)
+    # Das Ziel darf eine andere Freigabe sein: die Vorlage liegt oft in einer
+    # Vorlagenfreigabe, die ausgefuellte Fassung gehoert in die Ablage des
+    # Bereichs. Geprueft wird es wie jede andere Einbindung -- nur eine, die
+    # diesem Benutzer gerade gehoert, kommt in Frage.
+    ziel_token = (request.form.get("ziel") or "").strip()
+    ziel_mount = _mount_or_404(ziel_token) if ziel_token else mount
+    relative = request.form.get("path") or ""
+    upload_file = request.files.get("datei")
+    if upload_file is None or not upload_file.filename:
+        return {"error": "Es kam keine Datei an."}, 400
+
+    # Ein unterschriebenes Dokument ist abgeschlossen. Es als Vorlage fuer eine
+    # neue Fassung zu benutzen hiesse, eine Unterschrift unter einen anderen
+    # Text zu stellen -- die Oberflaeche blendet das aus, hier wird es
+    # abgewiesen.
+    if service.signaturstand(db(), mount, relative).get("status") in {
+        "unveraendert",
+        "veraendert",
+    }:
+        return {
+            "error": "Dieses Dokument ist unterschrieben und damit abgeschlossen. "
+            "Legen Sie eine neue Fassung aus der ursprünglichen Vorlage an."
+        }, 409
+
+    grenze = uploads.limit_bytes(db())
+    daten = upload_file.stream.read(grenze + 1)
+    if len(daten) > grenze:
+        return {"error": f"Zu groß (Grenze {grenze // 1024 // 1024} MB)."}, 413
+    if not daten.startswith(b"%PDF-"):
+        # Diese Route nimmt nur, was pdf.js hier ablegt. Ein anderer Inhalt
+        # waere ein Umweg, um beliebige Dateien in die Freigabe zu bekommen.
+        return {"error": "Das ist keine PDF-Datei."}, 415
+
+    # Geprueft wird die **Datei**, nicht ein mitgeschicktes Auswahlfeld: wer nur
+    # anlegen darf, legt endgueltige Fassungen ab. Traegt die Datei noch
+    # Formularfelder, ist sie weiter veraenderbar -- dafuer braucht es
+    # "PDF-Formulare: Bearbeiten". Ein umgebogenes Feld im Browser hilft damit
+    # niemandem weiter.
+    if service.hat_formularfelder(daten) and not current_user.has("fileshare_pdf.write"):
+        return {
+            "error": "Sie dürfen ausgefüllte Formulare nur abgeschlossen speichern "
+            "(Felder gesperrt). Bitte im Auswahlfeld 'Abgeschlossen' wählen."
+        }, 403
+
+    # Wohin und unter welchem Namen -- beides darf der Benutzer bestimmen.
+    ordner = (request.form.get("ordner") or "").strip().strip("/")
+    wunschname = (request.form.get("name") or "").strip()
+    ersetzen = request.form.get("ersetzen") == "1"
+
+    try:
+        original = service.resolve_path(mount, relative)
+        # Ohne Namen landet die Datei neben dem Original -- das geht nur in
+        # derselben Freigabe.
+        if ziel_mount.token != mount.token and not wunschname:
+            return {"error": "Für eine andere Freigabe braucht es einen Dateinamen."}, 400
+        # Mit Namen entscheidet das Ordnerfeld -- leer heisst Wurzelverzeichnis,
+        # so wie es im Feld steht. Ohne Namen (Aufruf ohne Oberflaeche) bleibt
+        # es beim Ordner des Originals.
+        if wunschname:
+            zielordner = service.resolve_path(ziel_mount, ordner)
+        else:
+            zielordner = service.resolve_path(mount, ordner) if ordner else original.parent
+        if not zielordner.is_dir():
+            return {
+                "error": f"Den Ordner '{ordner}' gibt es in der Freigabe "
+                f"'{ziel_mount.label}' nicht."
+            }, 400
+        if wunschname:
+            # Eingegeben wird der Name ohne Endung; die kommt von hier. Wer
+            # sie mittippt, bekommt sie nicht doppelt -- und wer eine falsche
+            # tippt, bekommt trotzdem eine Datei, die sich oeffnen laesst.
+            name = service.safe_filename(wunschname)
+            if not name.lower().endswith(".pdf"):
+                name += ".pdf"
+            ziel = zielordner / name
+            if ziel.exists() and not ersetzen:
+                return {
+                    "error": f"In '{ziel_mount.label}' gibt es '{name}' schon. Anderen "
+                    "Namen wählen oder 'Vorhandene ersetzen' ankreuzen."
+                }, 409
+        else:
+            # Ohne Angabe wie bisher: neben das Original, ohne etwas zu ueberschreiben.
+            ziel = service.free_name(original.parent, original.stem, "-ausgefuellt", ".pdf")
+        ziel.write_bytes(daten)
+    except service.FileshareError as exc:
+        return {"error": str(exc)}, 400
+
+    wohin = ziel.relative_to(ziel_mount.path.resolve()).as_posix()
+    pruefsumme = hashlib.sha256(daten).hexdigest()
+    unterschriften = _unterschriften(request.form.get("unterschriften") or "")
+    # Unterschreiben ist kein Aendern: am Ende steht eine Fassung, die niemand
+    # mehr bearbeiten kann, mit Namen im Dokument und Pruefsumme im Protokoll.
+    # Wer Dateien ablegen darf, darf das nicht automatisch.
+    if unterschriften and not current_user.has("fileshare_signature.execute"):
+        return {"error": "Zum Unterschreiben fehlt die Berechtigung."}, 403
+
+    # Zwei Angaben, die man nicht verwechseln darf, und deshalb stehen beide
+    # da: der Name **in** der Unterschrift ist eine Angabe des
+    # Unterschreibenden -- wie auf Papier. Wer die Datei abgelegt hat, steht
+    # ohnehin als Handelnder in der Zeile und ist belegt.
+    # Zwei Zeilen: oben, was ein Mensch liest; unten die Pruefsumme, die
+    # niemand liest, aber jeder vergleichen koennen muss. In einer einzigen
+    # Zeile drueckte der Hash den Rest aus der Spalte.
+    kopf = f"{'Signiert' if unterschriften else 'Gespeichert'}: {wohin}"
+    if unterschriften:
+        kopf += f" von: {', '.join(unterschriften)}"
+    beschreibung = f"{kopf}{chr(10)}sha256={pruefsumme}"
+    _audit(
+        "fileshare.form_signed" if unterschriften else "fileshare.form_saved",
+        f"{mount.label}:{relative}",
+        beschreibung,
+        severity="notice",
+    )
+    if unterschriften:
+        # Zusaetzlich ins Signaturverzeichnis: das Protokoll wird irgendwann
+        # archiviert, die Frage "ist diese Datei noch die unterschriebene?"
+        # stellt sich aber noch Jahre spaeter. Und mit fsync -- die Datei liegt
+        # schon auf der Freigabe; ein Stromausfall soll nicht den Nachweis
+        # dazu verschlucken.
+        verbindung = db()
+        with core().database.dauerhaft(verbindung), transaction():
+            service.signatur_merken(
+                verbindung,
+                sha256=pruefsumme,
+                label=ziel_mount.label,
+                pfad=wohin,
+                actor=current_user.username,
+                namen=unterschriften,
+            )
+        # Zweites Exemplar ausserhalb der Datenbank.
+        service.signatur_journalisieren(
+            sha256=pruefsumme,
+            label=ziel_mount.label,
+            pfad=wohin,
+            actor=current_user.username,
+            namen=unterschriften,
+        )
+    return {"message": f"Gespeichert als {wohin}.", "path": wohin, "sha256": pruefsumme}
+
+
+@bp.post("/<token>/folder")
@permission_required("fileshare.create")
 def make_directory(token: str):
    mount = _mount_or_404(token)
-    relative = request.form.get("pfad") or ""
+    relative = request.form.get("path") or ""
    try:
        service.make_directory(mount, relative, request.form.get("name", ""))
    except (service.FileshareError, OSError) as exc:
        flash(str(exc), "danger")
-        return redirect(url_for("fileshare.browse", freigabe=token, pfad=relative))
+        return redirect(url_for("fileshare.browse", share=token, path=relative))
    _audit("fileshare.directory_created", f"{mount.label}:{relative}/{request.form.get('name')}")
    flash("Ordner angelegt.", "success")
-    return redirect(url_for("fileshare.browse", freigabe=token, pfad=relative))
+    return redirect(url_for("fileshare.browse", share=token, path=relative))


-@bp.post("/<token>/umbenennen")
-@permission_required("fileshare.edit")
+@bp.post("/<token>/rename")
+@permission_required("fileshare.write")
 def rename(token: str):
    mount = _mount_or_404(token)
-    relative = request.form.get("pfad") or ""
+    relative = request.form.get("path") or ""
    parent = request.form.get("parent") or ""
    try:
        service.rename_entry(mount, relative, request.form.get("name", ""))
    except (service.FileshareError, OSError) as exc:
        flash(str(exc), "danger")
-        return redirect(url_for("fileshare.browse", freigabe=token, pfad=parent))
+        return redirect(url_for("fileshare.browse", share=token, path=parent))
    _audit("fileshare.renamed", f"{mount.label}:{relative}")
    flash("Umbenannt.", "success")
-    return redirect(url_for("fileshare.browse", freigabe=token, pfad=parent))
+    return redirect(url_for("fileshare.browse", share=token, path=parent))


-@bp.post("/<token>/loeschen")
+@bp.post("/<token>/delete")
@permission_required("fileshare.delete")
 def delete(token: str):
    mount = _mount_or_404(token)
    parent = request.form.get("parent") or ""
    removed = 0
-    for relative in request.form.getlist("pfade"):
+    for relative in request.form.getlist("paths"):
        try:
            kind = service.delete_entry(mount, relative)
            _audit("fileshare.deleted", f"{mount.label}:{relative}", kind, severity="warning")
@@ -217,18 +446,18 @@ def delete(token: str):
        except (service.FileshareError, OSError) as exc:
            flash(str(exc), "danger")
    if removed:
-        flash(f"{removed} Eintrag/Eintraege geloescht.", "success")
-    return redirect(url_for("fileshare.browse", freigabe=token, pfad=parent))
+        flash(f"{removed} Eintrag/Einträge gelöscht.", "success")
+    return redirect(url_for("fileshare.browse", share=token, path=parent))


-@bp.post("/<token>/freigeben")
-@permission_required("fileshare.view")
+@bp.post("/<token>/release")
+@permission_required("fileshare.read")
 def release(token: str):
    mount = _mount_or_404(token)
    with transaction() as conn:
        service.release_mount(conn, mount.id)
    _audit("fileshare.released", mount.label)
-    flash("Einbindung geloest.", "success")
+    flash("Einbindung gelöst.", "success")
    return redirect(url_for("fileshare.browse"))


@@ -237,8 +466,8 @@ def release(token: str):
 # --------------------------------------------------------------------------- #


-@bp.get("/zuordnungen")
-@permission_required("fileshare.edit")
+@bp.get("/mappings")
+@permission_required("fileshare_mappings.read")
 def mappings():
    from tesm_core.auth import directory

@@ -251,8 +480,8 @@ def mappings():
    )


-@bp.post("/zuordnungen")
-@permission_required("fileshare.edit")
+@bp.post("/mappings")
+@permission_required("fileshare_mappings.create")
 def mapping_add():
    try:
        with transaction() as conn:
@@ -263,18 +492,33 @@ def mapping_add():
                label=request.form.get("label", ""),
                unc=request.form.get("unc", ""),
            )
-        _audit("fileshare.mapping_added", request.form.get("label", ""), severity="notice")
+        _audit(
+            "fileshare.mapping_added",
+            request.form.get("label", ""),
+            service.describe_mapping(
+                {
+                    "unc": request.form.get("unc", ""),
+                    "ad_group_name": request.form.get("ad_group_name", ""),
+                    "ad_group_dn": request.form.get("ad_group_dn", ""),
+                }
+            ),
+            severity="notice",
+        )
        flash("Zuordnung gespeichert.", "success")
    except service.FileshareError as exc:
        flash(str(exc), "danger")
    return redirect(url_for("fileshare.mappings"))


-@bp.post("/zuordnungen/<int:mapping_id>")
-@permission_required("fileshare.edit")
+@bp.post("/mappings/<int:mapping_id>")
+@permission_required("fileshare_mappings.write")
 def mapping_update(mapping_id: int):
    try:
        with transaction() as conn:
+            # Den Stand vor der Aenderung merken -- danach ist er weg, und
+            # "geaendert" ohne "was" beantwortet keine einzige Frage, die man
+            # spaeter an ein Protokoll stellt.
+            vorher = service.get_mapping(conn, mapping_id)
            service.update_mapping(
                conn,
                mapping_id,
@@ -283,18 +527,32 @@ def mapping_update(mapping_id: int):
                label=request.form.get("label", ""),
                unc=request.form.get("unc", ""),
            )
-        _audit("fileshare.mapping_updated", request.form.get("label", ""), severity="notice")
-        flash("Zuordnung geaendert.", "success")
+            nachher = service.get_mapping(conn, mapping_id)
+        _audit(
+            "fileshare.mapping_updated",
+            str((nachher or {}).get("label") or request.form.get("label", "")),
+            service.mapping_changes(vorher, nachher) or "keine inhaltliche Änderung",
+            severity="notice",
+        )
+        flash("Zuordnung geändert.", "success")
    except service.FileshareError as exc:
        flash(str(exc), "danger")
    return redirect(url_for("fileshare.mappings"))


-@bp.post("/zuordnungen/<int:mapping_id>/loeschen")
-@permission_required("fileshare.edit")
+@bp.post("/mappings/<int:mapping_id>/delete")
+@permission_required("fileshare_mappings.delete")
 def mapping_delete(mapping_id: int):
    with transaction() as conn:
+        entfernt = service.get_mapping(conn, mapping_id)
        service.delete_mapping(conn, mapping_id)
-    _audit("fileshare.mapping_deleted", str(mapping_id), severity="notice")
+    # Eine entfernte Zuordnung nimmt allen Mitgliedern der Gruppe den Zugang
+    # zu dieser Freigabe -- das ist keine Notiz am Rande, sondern eine Warnung.
+    _audit(
+        "fileshare.mapping_deleted",
+        str((entfernt or {}).get("label") or mapping_id),
+        service.describe_mapping(entfernt),
+        severity="warning",
+    )
    flash("Zuordnung entfernt.", "success")
    return redirect(url_for("fileshare.mappings"))
@@ -31,13 +31,17 @@ from tesm_core.extension import core, db, transaction

 from ..services import inventory, ssh

-bp = Blueprint("hostkeys", __name__, url_prefix="/hostschluessel")
+bp = Blueprint("hostkeys", __name__, url_prefix="/monitoring/host-keys")

 KIND_DEVICE = "client"
 KIND_SWITCH = "switch"

-#: Welches Recht welche Art von Ziel freigibt.
-EDIT_RIGHT = {KIND_DEVICE: "devices.edit", KIND_SWITCH: "switches.edit"}
+#: Freigeben ist eine eigene Zeile: es war das Recht fuer Stammdaten
+#: ("Gerät ändern"), obwohl es der Vorgang ist, mit dem man bestaetigt, dass
+#: ein Geraet wirklich das ist, fuer das es sich ausgibt. Die Art des Ziels
+#: entscheidet nicht mehr mit -- Schluessel ist Schluessel.
+FREIGABE_RECHT = "hostkeys.execute"
+EDIT_RIGHT = {KIND_DEVICE: FREIGABE_RECHT, KIND_SWITCH: FREIGABE_RECHT}


 def _audit(action: str, target: str, detail: str = "", severity: str = "info") -> None:
@@ -112,7 +116,7 @@ def _orphans(conn: Any, targets: list[dict[str, Any]]) -> list[dict[str, Any]]:


@bp.get("/")
-@permission_required("devices.view", "switches.view", mode="any")
+@permission_required("hostkeys.read")
 def overview():
    conn = db()
    targets = _targets(conn)
@@ -142,8 +146,8 @@ def _require(kind: str) -> None:
        abort(403)


-@bp.post("/<kind>/<int:target_id>/pruefen")
-@permission_required("devices.view", "switches.view", mode="any")
+@bp.post("/<kind>/<int:target_id>/probe")
+@permission_required("hostkeys.read")
 def probe(kind: str, target_id: int):
    conn = db()
    _require(kind)
@@ -169,8 +173,8 @@ def probe(kind: str, target_id: int):
    )


-@bp.post("/<kind>/<int:target_id>/freigeben")
-@permission_required("devices.view", "switches.view", mode="any")
+@bp.post("/<kind>/<int:target_id>/trust")
+@permission_required("hostkeys.read")
@reauth_required
 def trust(kind: str, target_id: int):
    conn = db()
@@ -181,7 +185,7 @@ def trust(kind: str, target_id: int):
    key_type = (request.form.get("key_type") or "").strip()
    fingerprint = (request.form.get("fingerprint") or "").strip()
    if not key_type or not ssh.valid_fingerprint(fingerprint):
-        flash("Es wurde kein gueltiger Fingerprint uebergeben.", "danger")
+        flash("Es wurde kein gültiger Fingerprint übergeben.", "danger")
        return redirect(url_for("hostkeys.overview"))

    with transaction():
@@ -199,12 +203,12 @@ def trust(kind: str, target_id: int):
        f"{key_type} {fingerprint}",
        severity="notice",
    )
-    flash(f"Host-Schluessel von {target['label']} freigegeben.", "success")
+    flash(f"Host-Schlüssel von {target['label']} freigegeben.", "success")
    return redirect(url_for("hostkeys.overview"))


-@bp.post("/<kind>/<int:target_id>/verwerfen")
-@permission_required("devices.view", "switches.view", mode="any")
+@bp.post("/<kind>/<int:target_id>/forget")
+@permission_required("hostkeys.read")
 def forget(kind: str, target_id: int):
    conn = db()
    _require(kind)
@@ -218,12 +222,12 @@ def forget(kind: str, target_id: int):
        target["label"],
        severity="warning",
    )
-    flash(f"Gespeicherte Schluessel von {target['label']} entfernt.", "info")
+    flash(f"Gespeicherte Schlüssel von {target['label']} entfernt.", "info")
    return redirect(url_for("hostkeys.overview"))


-@bp.post("/verwaist/verwerfen")
-@permission_required("devices.edit", "switches.edit", mode="any")
+@bp.post("/orphaned/forget")
+@permission_required("hostkeys.execute")
 def forget_orphan():
    """Entfernt eine Freigabe, zu der es kein Ziel mehr gibt."""
    host = (request.form.get("host") or "").strip()
@@ -232,18 +236,18 @@ def forget_orphan():
    except ValueError:
        port = 0
    if not host or not 1 <= port <= 65535:
-        flash("Ungueltiges Ziel.", "danger")
+        flash("Ungültiges Ziel.", "danger")
        return redirect(url_for("hostkeys.overview"))

    conn = db()
    if (host, port) in {(row["host"], row["port"]) for row in _targets(conn)}:
        # Ein Ziel, das es noch gibt, wird ueber seine eigene Zeile verworfen --
        # sonst umginge dieser Weg die Rechtepruefung je Objektart.
-        flash("Zu diesem Eintrag gibt es ein Ziel -- bitte dort verwerfen.", "warning")
+        flash("Zu diesem Eintrag gibt es ein Ziel – bitte dort verwerfen.", "warning")
        return redirect(url_for("hostkeys.overview"))

    with transaction():
        ssh.forget_key(conn, host, port)
    _audit("host_key.orphan_forgotten", f"{host}:{port}", severity="warning")
-    flash(f"Verwaiste Freigabe fuer {host}:{port} entfernt.", "info")
+    flash(f"Verwaiste Freigabe für {host}:{port} entfernt.", "info")
    return redirect(url_for("hostkeys.overview"))
@@ -23,7 +23,7 @@ from tesm_core.licensing_client import LICENSED_FEATURES, LicenseError

 import tesm_licensing as lic

-bp = Blueprint("license", __name__, url_prefix="/lizenz")
+bp = Blueprint("license", __name__, url_prefix="/administration/license")

 MAX_UPLOAD_BYTES = 256 * 1024

@@ -43,7 +43,7 @@ def _audit(action: str, target: str = "", detail: str = "", severity: str = "inf


@bp.get("/")
-@permission_required("settings_license.view")
+@permission_required("settings_license.read")
 def overview():
    extension = core()
    conn = db()
@@ -69,8 +69,8 @@ def overview():
    )


-@bp.post("/einspielen")
-@permission_required("settings_license.edit")
+@bp.post("/install")
+@permission_required("settings_license.write")
 def upload():
    extension = core()
    manager = extension.license
@@ -80,11 +80,11 @@ def upload():

    upload_file = request.files.get("license_file")
    if upload_file is None or not upload_file.filename:
-        flash("Keine Datei ausgewaehlt.", "danger")
+        flash("Keine Datei ausgewählt.", "danger")
        return redirect(url_for("license.overview"))
    raw = upload_file.stream.read(MAX_UPLOAD_BYTES + 1)
    if len(raw) > MAX_UPLOAD_BYTES:
-        flash("Die Datei ist zu gross fuer eine Lizenzdatei.", "danger")
+        flash("Die Datei ist zu groß für eine Lizenzdatei.", "danger")
        return redirect(url_for("license.overview"))

    allow_new_issuer = request.form.get("allow_new_issuer") == "1" and current_user.is_admin
@@ -104,20 +104,20 @@ def upload():
    if state.status and state.status.role != "customer":
        flash(
            f"Achtung: diese Lizenz hat die Rolle {state.status.role!r}. "
-            "In einer TESM-Kundeninstanz ist das ungewoehnlich.",
+            "In einer TESM-Kundeninstanz ist das ungewöhnlich.",
            "warning",
        )
    return redirect(url_for("license.overview"))


-@bp.post("/aktivieren")
-@permission_required("settings_license.edit")
+@bp.post("/activate")
+@permission_required("settings_license.write")
 def activate():
    return _handshake("activate")


-@bp.post("/deaktivieren")
-@permission_required("settings_license.edit")
+@bp.post("/deactivate")
+@permission_required("settings_license.write")
@reauth_required
 def deactivate():
    """Gibt die Lizenz frei, damit sie auf einer anderen Maschine genutzt werden kann.
@@ -129,7 +129,7 @@ def deactivate():


@bp.post("/heartbeat")
-@permission_required("settings_license.edit")
+@permission_required("settings_license.write")
 def heartbeat():
    return _handshake("heartbeat")

@@ -158,8 +158,8 @@ def _handshake(action: str):
    return redirect(url_for("license.overview"))


-@bp.post("/offline-antwort")
-@permission_required("settings_license.edit")
+@bp.post("/offline-response")
+@permission_required("settings_license.write")
 def offline_response():
    extension = core()
    manager = extension.license
@@ -177,8 +177,8 @@ def offline_response():
    return redirect(url_for("license.overview"))


-@bp.post("/serverzertifikat")
-@permission_required("settings_license.edit")
+@bp.post("/server-certificate")
+@permission_required("settings_license.write")
 def server_certificate():
    """Hinterlegt das Zertifikat des Lizenzservers.

@@ -214,15 +214,15 @@ def server_certificate():
        severity="notice",
    )
    flash(
-        "Zertifikat hinterlegt. Der naechste Versuch laeuft wieder ueber den Online-Weg."
+        "Zertifikat hinterlegt. Der nächste Versuch läuft wieder über den Online-Weg."
        if pem
-        else "Zertifikat entfernt -- es gelten wieder die Systemanker.",
+        else "Zertifikat entfernt – es gelten wieder die Systemanker.",
        "success",
    )
    return redirect(url_for("license.overview"))


-@bp.post("/aussteller/<key_id>/entfernen")
+@bp.post("/issuer/<key_id>/remove")
@admin_required
@reauth_required
 def remove_trusted_key(key_id: str):
@@ -246,5 +246,5 @@ def remove_trusted_key(key_id: str):
    if manager is not None:
        with core().database.session() as conn:
            manager.reload(conn)
-    flash("Aussteller-Schluessel entfernt.", "info")
+    flash("Aussteller-Schlüssel entfernt.", "info")
    return redirect(url_for("license.overview"))
@@ -13,13 +13,13 @@ from tesm_core.extension import core, db

 from ..services import kea, monitor

-bp = Blueprint("tesmlogs", __name__, url_prefix="/protokolle")
+bp = Blueprint("tesmlogs", __name__, url_prefix="/logs")

 MAX_TAIL_LINES = 2000


-@bp.get("/kea")
-@permission_required("logs_dhcp.view")
+@bp.get("/dhcp")
+@permission_required("logs_dhcp.read")
 def dhcp():
    extension = core()
    if extension.license is not None and not extension.license.module_active("dhcp"):
@@ -34,12 +34,12 @@ def dhcp():
        else:
            error = result.message
    else:
-        error = "Systemhelfer nicht verfuegbar."
+        error = "Systemhelfer nicht verfügbar."
    return render_template("tesm/logs_kea.html", lines=lines, path=kea.LOG_PATH, error=error)


-@bp.get("/neustarts")
-@permission_required("devices.view")
+@bp.get("/restarts")
+@permission_required("devices.read")
 def restarts():
    """Alle Neustarts -- ueber den PoE-Port und per Befehl aus der Wartung.

@@ -48,7 +48,7 @@ def restarts():
    der Neustart-Historie vollstaendig -- obwohl genau dort jemand nachsieht,
    der wissen will, warum ein Geraet weg war.
    """
-    method = (request.args.get("methode") or "").strip()
+    method = (request.args.get("method") or "").strip()
    if method and method not in monitor.METHOD_LABELS:
        method = ""
    sql = (
@@ -23,9 +23,10 @@ from tesm_core.auth.service import client_ip
 from tesm_core.db import Database
 from tesm_core.extension import core, db, transaction

+from ..permissions import SERVICING_PAGE
 from ..services import inventory, maintenance as service, ssh, windowsops, monitor

-bp = Blueprint("maintenance", __name__, url_prefix="/wartung")
+bp = Blueprint("maintenance", __name__, url_prefix="/maintenance")


@bp.before_request
@@ -75,7 +76,7 @@ def _query_devices(conn) -> list[dict]:  # type: ignore[no-untyped-def]


@bp.get("/")
-@permission_required("maintenance.view", "maintenance.execute", mode="any")
+@permission_required(*SERVICING_PAGE, mode="any")
 def overview():
    conn = db()
    return render_template(
@@ -85,7 +86,7 @@ def overview():
        category_labels=dict(inventory.CREDENTIAL_CATEGORIES),
        category_effects=inventory.CATEGORY_EFFECTS,
        update_category=inventory.MAINTENANCE_CATEGORY,
-        terminal_enabled=bool(core().settings.get(conn, "terminal_enabled")),
+        terminal_enabled=bool(core().settings.get(conn, "terminal_clients_enabled")),
        windows_tool_missing=_windows_tool_missing(conn),
        windows_package=windowsops.REQUIRED_PACKAGE,
    )
@@ -105,8 +106,8 @@ def _windows_tool_missing(conn) -> bool:  # type: ignore[no-untyped-def]
    )


-@bp.post("/paket-nachinstallieren")
-@permission_required("maintenance.execute")
+@bp.post("/install-package")
+@permission_required("servicing_tool.execute")
 def install_windows_tool():
    """Installiert das Paket, das der Fehlermeldung nach fehlt.

@@ -116,7 +117,7 @@ def install_windows_tool():
    """
    sysops = core().sysops
    if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
        return redirect(url_for("maintenance.overview"))

    result = sysops.apt_install(windowsops.REQUIRED_PACKAGE)
@@ -139,7 +140,7 @@ def install_windows_tool():


@bp.get("/status")
-@permission_required("maintenance.view", "maintenance.execute", mode="any")
+@permission_required(*SERVICING_PAGE, mode="any")
 def status():
    """Zustand der Auftraege -- aus der Datenbank, nicht aus dem Prozessspeicher."""
    conn = db()
@@ -165,8 +166,8 @@ def status():
    )


-@bp.get("/auftrag/<job_id>")
-@permission_required("maintenance.view", "maintenance.execute", mode="any")
+@bp.get("/job/<job_id>")
+@permission_required(*SERVICING_PAGE, mode="any")
 def job_detail(job_id: str):
    conn = db()
    job = service.get_job(conn, job_id)
@@ -175,8 +176,8 @@ def job_detail(job_id: str):
    return render_template("tesm/maintenance_job.html", job=job)


-@bp.get("/auftrag/<job_id>/ausgabe")
-@permission_required("maintenance.view", "maintenance.execute", mode="any")
+@bp.get("/job/<job_id>/output")
+@permission_required(*SERVICING_PAGE, mode="any")
@fragment
 def job_output(job_id: str):
    conn = db()
@@ -191,7 +192,7 @@ def _start(kind: str) -> None:
    conn = db()
    device_ids = [int(value) for value in request.form.getlist("device_ids") if value.isdigit()]
    if not device_ids:
-        flash("Es wurde kein Geraet ausgewaehlt.", "warning")
+        flash("Es wurde kein Gerät ausgewählt.", "warning")
        return

    eligible = {int(row["id"]): row for row in _eligible_devices(conn)}
@@ -204,8 +205,8 @@ def _start(kind: str) -> None:
        # zurueck, der nie gestartet wird und ewig auf "wartet" steht.
        if kind == service.JOB_KIND_UPDATE and str(device["category"]) != "linux":
            flash(
-                f"{device['name']}: Paketaktualisierung gibt es nur fuer Linux-Clients. "
-                "Windows-Geraete lassen sich hier nur neu starten.",
+                f"{device['name']}: Paketaktualisierung gibt es nur für Linux-Clients. "
+                "Windows-Geräte lassen sich hier nur neu starten.",
                "warning",
            )
            continue
@@ -273,18 +274,18 @@ def _start(kind: str) -> None:
        started += 1

    if started:
-        flash(f"{started} Auftrag/Auftraege gestartet.", "success")
+        flash(f"{started} Auftrag/Aufträge gestartet.", "success")


-@bp.post("/aktualisieren")
-@permission_required("maintenance.execute")
+@bp.post("/update")
+@permission_required("servicing_update.execute")
 def start_update():
    _start(service.JOB_KIND_UPDATE)
    return redirect(url_for("maintenance.overview"))


-@bp.post("/neustarten")
-@permission_required("maintenance.execute")
+@bp.post("/restart")
+@permission_required("servicing_reboot.execute")
 def start_reboot():
    _start(service.JOB_KIND_REBOOT)
    return redirect(url_for("maintenance.overview"))
@@ -18,7 +18,7 @@ from tesm_core.auth.service import client_ip
 from tesm_core.extension import core, db, transaction
 from tesm_core.licensing_client import LicenseError

-bp = Blueprint("settings", __name__, url_prefix="/einstellungen")
+bp = Blueprint("settings", __name__, url_prefix="/administration")


 def _audit(action: str, target: str = "", detail: str = "", severity: str = "info") -> None:
@@ -65,7 +65,7 @@ def _timezone_choices() -> list[str]:


@bp.get("/system")
-@permission_required("settings_system.view")
+@permission_required("settings_system.read")
 def system():
    extension = core()
    conn = db()
@@ -79,9 +79,13 @@ def system():
                "monitor_failures_before_restart",
                "monitor_auto_restart",
                "dashboard_public",
-                "terminal_enabled",
+                "terminal_switches_enabled",
+                "terminal_clients_enabled",
                "terminal_idle_timeout",
+                "signature_witness_enabled",
                "trash_retention_days",
+                "session_idle_minutes",
+                "session_absolute_hours",
                "log_rotate_interval",
                "log_rotate_keep",
            ],
@@ -92,13 +96,14 @@ def system():
        timezones=_timezone_choices(),
        nav_items=extension.nav.items,
        nav_order=extension.settings.get(conn, "nav_order") or extension.nav.default_order(),
+        nav_child_order=extension.settings.get(conn, "nav_child_order") or {},
        license_hint=_license_hint("monitor_interval"),
        sysops_available=bool(sysops and sysops.available),
    )


@bp.post("/system")
-@permission_required("settings_system.edit")
+@permission_required("settings_system.write")
 def system_save():
    extension = core()
    conn = db()
@@ -109,9 +114,13 @@ def system_save():
        "monitor_failures_before_restart",
        "monitor_auto_restart",
        "dashboard_public",
-        "terminal_enabled",
+        "terminal_switches_enabled",
+        "terminal_clients_enabled",
        "terminal_idle_timeout",
+        "signature_witness_enabled",
        "trash_retention_days",
+        "session_idle_minutes",
+        "session_absolute_hours",
        "log_rotate_interval",
        "log_rotate_keep",
    ):
@@ -151,10 +160,10 @@ def system_save():
    if changed:
        message = "Einstellungen gespeichert."
        if interval_changed:
-            message += " Das Pruefintervall greift beim naechsten Durchlauf."
+            message += " Das Prüfintervall greift beim nächsten Durchlauf."
        flash(message, "success")
    else:
-        flash("Keine Aenderungen.", "info")
+        flash("Keine Änderungen.", "info")
    return redirect(url_for("settings.system"))


@@ -165,10 +174,10 @@ def set_hostname():
    sysops = extension.sysops
    hostname = (request.form.get("hostname") or "").strip()
    if not hostname or len(hostname) > 63 or not hostname.replace("-", "").isalnum():
-        flash("Der Hostname ist ungueltig.", "danger")
+        flash("Der Hostname ist ungültig.", "danger")
        return redirect(url_for("settings.system"))
    if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
        return redirect(url_for("settings.system"))
    result = sysops.set_hostname(hostname)
    if result.ok:
@@ -181,7 +190,7 @@ def set_hostname():
    return redirect(url_for("settings.system"))


-@bp.post("/system/zeitzone")
+@bp.post("/system/timezone")
@permission_required("settings_system.execute")
 def set_timezone():
    extension = core()
@@ -191,7 +200,7 @@ def set_timezone():
        flash("Unbekannte Zeitzone.", "danger")
        return redirect(url_for("settings.system"))
    if sysops is None or not sysops.available:
-        flash("Systemaktionen sind in dieser Umgebung nicht verfuegbar.", "warning")
+        flash("Systemaktionen sind in dieser Umgebung nicht verfügbar.", "warning")
        return redirect(url_for("settings.system"))
    result = sysops.set_timezone(timezone)
    if result.ok:
@@ -210,7 +219,7 @@ def set_timezone():
    return redirect(url_for("settings.system"))


-@bp.post("/system/pruefung-jetzt")
+@bp.post("/system/check-now")
@permission_required("settings_system.execute")
 def run_check_now():
    """Startet einen Ueberwachungsdurchlauf sofort, im Hintergrund."""
@@ -17,7 +17,7 @@ from tesm_core.extension import core, db, transaction

 from ..services import inventory, ssh, switchcli

-bp = Blueprint("switches", __name__, url_prefix="/switche")
+bp = Blueprint("switches", __name__, url_prefix="/monitoring/switches")


 def _audit(conn: Any, action: str, target: str, detail: str = "", severity: str = "info") -> None:
@@ -47,18 +47,18 @@ def _form_values() -> dict[str, Any]:


@bp.get("/")
-@permission_required("switches.view")
+@permission_required("switches.read")
 def overview():
    conn = db()
    return render_template(
        "tesm/switches.html",
        switches=inventory.list_switches(conn),
        credentials=inventory.list_credentials(conn),
-        terminal_enabled=bool(core().settings.get(conn, "terminal_enabled")),
+        terminal_enabled=bool(core().settings.get(conn, "terminal_switches_enabled")),
    )


-@bp.post("/neu")
+@bp.post("/new")
@permission_required("switches.create")
 def create():
    try:
@@ -71,7 +71,7 @@ def create():
                f"IP {request.form.get('ip')}",
                severity="notice",
            )
-        flash("Switch angelegt. Der Host-Schluessel muss vor dem ersten Zugriff freigegeben werden.", "success")
+        flash("Switch angelegt. Der Host-Schlüssel muss vor dem ersten Zugriff freigegeben werden.", "success")
        return redirect(url_for("switches.detail", switch_id=switch_id))
    except inventory.ValidationError as exc:
        flash(str(exc), "danger")
@@ -79,7 +79,7 @@ def create():


@bp.post("/<int:switch_id>")
-@permission_required("switches.edit")
+@permission_required("switches.write")
 def update(switch_id: int):
    try:
        with transaction() as conn:
@@ -92,13 +92,13 @@ def update(switch_id: int):
                    "; ".join(changes),
                    severity="notice",
                )
-        flash("Aenderungen gespeichert." if changes else "Keine Aenderungen.", "success" if changes else "info")
+        flash("Änderungen gespeichert." if changes else "Keine Änderungen.", "success" if changes else "info")
    except inventory.ValidationError as exc:
        flash(str(exc), "danger")
    return redirect(request.referrer or url_for("switches.overview"))


-@bp.post("/<int:switch_id>/loeschen")
+@bp.post("/<int:switch_id>/delete")
@permission_required("switches.delete")
 def delete(switch_id: int):
    try:
@@ -115,7 +115,7 @@ def delete(switch_id: int):


@bp.get("/<int:switch_id>")
-@permission_required("switches.view")
+@permission_required("switches.read")
 def detail(switch_id: int):
    conn = db()
    switch = inventory.get_switch(conn, switch_id)
@@ -142,7 +142,7 @@ def detail(switch_id: int):
        devices=devices,
        credentials=inventory.list_credentials(conn),
        safe_commands=switchcli.SAFE_COMMANDS,
-        terminal_enabled=bool(core().settings.get(conn, "terminal_enabled")),
+        terminal_enabled=bool(core().settings.get(conn, "terminal_switches_enabled")),
    )


@@ -151,8 +151,8 @@ def detail(switch_id: int):
 # --------------------------------------------------------------------------- #


-@bp.post("/<int:switch_id>/hostkey/pruefen")
-@permission_required("switches.edit")
+@bp.post("/<int:switch_id>/host-key/probe")
+@permission_required("switches.write")
 def probe_host_key(switch_id: int):
    conn = db()
    switch = inventory.get_switch(conn, switch_id)
@@ -176,8 +176,8 @@ def probe_host_key(switch_id: int):
    )


-@bp.post("/<int:switch_id>/hostkey/freigeben")
-@permission_required("switches.edit")
+@bp.post("/<int:switch_id>/host-key/trust")
+@permission_required("switches.write")
@reauth_required
 def trust_host_key(switch_id: int):
    """Gibt einen Host-Schluessel ausdruecklich frei.
@@ -192,7 +192,7 @@ def trust_host_key(switch_id: int):
    key_type = (request.form.get("key_type") or "").strip()
    fingerprint = (request.form.get("fingerprint") or "").strip()
    if not key_type or not ssh.valid_fingerprint(fingerprint):
-        flash("Es wurde kein gueltiger Fingerprint uebergeben.", "danger")
+        flash("Es wurde kein gültiger Fingerprint übergeben.", "danger")
        return redirect(url_for("switches.detail", switch_id=switch_id))

    with transaction():
@@ -211,12 +211,12 @@ def trust_host_key(switch_id: int):
            f"{key_type} {fingerprint}",
            severity="notice",
        )
-    flash("Host-Schluessel freigegeben.", "success")
+    flash("Host-Schlüssel freigegeben.", "success")
    return redirect(url_for("switches.detail", switch_id=switch_id))


-@bp.post("/<int:switch_id>/hostkey/verwerfen")
-@permission_required("switches.edit")
+@bp.post("/<int:switch_id>/host-key/forget")
+@permission_required("switches.write")
 def forget_host_key(switch_id: int):
    conn = db()
    switch = inventory.get_switch(conn, switch_id)
@@ -225,7 +225,7 @@ def forget_host_key(switch_id: int):
    with transaction():
        ssh.forget_key(conn, str(switch["ip"]), int(switch["ssh_port"]))
        _audit(conn, "switch.host_key_forgotten", str(switch["hostname"]), severity="warning")
-    flash("Gespeicherte Host-Schluessel entfernt.", "info")
+    flash("Gespeicherte Host-Schlüssel entfernt.", "info")
    return redirect(url_for("switches.detail", switch_id=switch_id))


@@ -234,8 +234,8 @@ def forget_host_key(switch_id: int):
 # --------------------------------------------------------------------------- #


-@bp.post("/<int:switch_id>/kommando")
-@permission_required("switches.execute")
+@bp.post("/<int:switch_id>/command")
+@permission_required("switch_console.execute")
@reauth_required
 def run_command(switch_id: int):
    """Fuehrt ein Kommando aus der Positivliste aus.
@@ -256,7 +256,7 @@ def run_command(switch_id: int):
        flash("Dieses Kommando steht nicht auf der Positivliste.", "danger")
        return redirect(url_for("switches.detail", switch_id=switch_id))
    if not switch["credential_id"]:
-        flash("Fuer diesen Switch sind keine Zugangsdaten hinterlegt.", "danger")
+        flash("Für diesen Switch sind keine Zugangsdaten hinterlegt.", "danger")
        return redirect(url_for("switches.detail", switch_id=switch_id))

    try:
@@ -12,7 +12,7 @@ Zwei Ziele, ein Ablauf:

 * **Switch** -- ``switches.execute``. Interaktive ArubaOS-Sitzung ueber
  :class:`~tesm.services.switchcli.SwitchCli`.
-* **Client** -- ``maintenance.execute`` und das lizenzpflichtige Modul
+* **Client** -- ``device_console.execute`` und das lizenzpflichtige Modul
  ``maintenance``. Ein Kommando je ``exec``-Kanal ueber
  :class:`~tesm.services.shellcli.ShellSession`.

@@ -24,7 +24,10 @@ Rechteausweitung, die dieses Projekt an anderer Stelle ausschliesst.
 Gemeinsame Sicherheitsmerkmale:

 * Frische Passwortbestaetigung, zusaetzlich zum Recht.
-* Abschaltbar ueber die Einstellung ``terminal_enabled``.
+* Abschaltbar -- getrennt fuer Switche (``terminal_switches_enabled``) und
+  Clients (``terminal_clients_enabled``). Das Freigeben von Host-Schluesseln
+  haengt an eigenen Routen und bleibt davon unberuehrt: es wird fuer den
+  PoE-Neustart gebraucht.
 * Der Host-Schluessel muss vorher freigegeben sein -- die Konsole akzeptiert
  keine unbekannten Schluessel (anders als der Vorgaenger, der sie hier
  interaktiv uebernahm). Freigegeben wird auf der jeweiligen Detailseite.
@@ -71,7 +74,7 @@ CLIENT_COMMANDS: tuple[tuple[str, str], ...] = (
    ("ip -brief address", "Netzwerkadressen"),
    ("systemctl --failed", "Fehlgeschlagene Dienste"),
    ("journalctl -p err -n 50 --no-pager", "Letzte Fehler im Journal"),
-    ("apt list --upgradable 2>/dev/null", "Verfuegbare Aktualisierungen"),
+    ("apt list --upgradable 2>/dev/null", "Verfügbare Aktualisierungen"),
    ("uname -a", "Kernel und Architektur"),
 )

@@ -128,6 +131,18 @@ def _load_target(conn: Any, kind: str, target_id: int) -> Target | None:
    )


+def _konsole_erlaubt(conn: Any, kind: str) -> bool:
+    """Ist die Konsole fuer diese Art Ziel eingeschaltet?
+
+    Zwei Schalter, weil beides unabhaengig voneinander gebraucht wird: eine
+    Werkstatt will vielleicht auf Switche, aber nicht auf Clients.
+    """
+    schluessel = (
+        "terminal_switches_enabled" if kind == KIND_SWITCH else "terminal_clients_enabled"
+    )
+    return bool(core().settings.get(conn, schluessel))
+
+
 def _client_module_active() -> bool:
    manager = core().license
    return manager is None or manager.module_active("maintenance")
@@ -136,10 +151,10 @@ def _client_module_active() -> bool:
 def _render_console(target: Target):  # type: ignore[no-untyped-def]
    extension = core()
    conn = db()
-    if not extension.settings.get(conn, "terminal_enabled"):
+    if not _konsole_erlaubt(conn, target.kind):
        abort(404)
    if not target.credential_id:
-        abort(409, description="Fuer dieses Ziel sind keine Zugangsdaten hinterlegt.")
+        abort(409, description="Für dieses Ziel sind keine Zugangsdaten hinterlegt.")

    return render_template(
        "tesm/console.html",
@@ -151,8 +166,8 @@ def _render_console(target: Target):  # type: ignore[no-untyped-def]
    )


-@bp.get("/switche/<int:switch_id>/konsole")
-@permission_required("switches.execute")
+@bp.get("/monitoring/switches/<int:switch_id>/console")
+@permission_required("switch_console.execute")
@reauth_required
 def switch_console(switch_id: int):
    target = _load_target(db(), KIND_SWITCH, switch_id)
@@ -161,8 +176,8 @@ def switch_console(switch_id: int):
    return _render_console(target)


-@bp.get("/clients/<int:device_id>/konsole")
-@permission_required("maintenance.execute")
+@bp.get("/monitoring/clients/<int:device_id>/console")
+@permission_required("device_console.execute")
@reauth_required
 def device_console(device_id: int):
    if not _client_module_active():
@@ -180,7 +195,7 @@ def init_app(app) -> None:  # type: ignore[no-untyped-def]
    try:
        from flask_sock import Sock
    except ImportError:  # pragma: no cover - optionale Abhaengigkeit
-        logger.info("flask-sock ist nicht installiert -- die Konsole bleibt deaktiviert.")
+        logger.info("flask-sock ist nicht installiert – die Konsole bleibt deaktiviert.")
        return

    sock = Sock(app)
@@ -210,18 +225,20 @@ def _handle_socket(ws, kind: str, target_id: int) -> None:  # type: ignore[no-un

    # -- Berechtigungen: dieselben Pruefungen wie in der HTTP-Route. Ein
    #    WebSocket umgeht Dekoratoren, also stehen sie hier ausdruecklich.
-    required = "switches.execute" if kind == KIND_SWITCH else "maintenance.execute"
+    required = (
+        "switch_console.execute" if kind == KIND_SWITCH else "device_console.execute"
+    )
    if not current_user.is_authenticated or not current_user.has(required):
-        _send(ws, "error", "Keine Berechtigung fuer diese Konsole.")
+        _send(ws, "error", "Keine Berechtigung für diese Konsole.")
        return
    if not reauth_is_fresh():
-        _send(ws, "error", "Die Passwortbestaetigung ist abgelaufen. Bitte Seite neu laden.")
+        _send(ws, "error", "Die Passwortbestätigung ist abgelaufen. Bitte Seite neu laden.")
        return
-    if not extension.settings.get(conn, "terminal_enabled"):
+    if not _konsole_erlaubt(conn, kind):
        _send(ws, "error", "Die Konsole ist in dieser Installation abgeschaltet.")
        return
    if kind == KIND_DEVICE and not _client_module_active():
-        _send(ws, "error", "Die Client-Konsole gehoert zum Modul Wartung -- es ist nicht aktiv.")
+        _send(ws, "error", "Die Client-Konsole gehört zum Modul Wartung – es ist nicht aktiv.")
        return

    target = _load_target(conn, kind, target_id)
@@ -278,8 +295,8 @@ def _handle_socket(ws, kind: str, target_id: int) -> None:  # type: ignore[no-un
        _send(
            ws,
            "error",
-            f"{exc} Die Konsole akzeptiert keine unbekannten Schluessel -- bitte auf der "
-            f"{page} ausdruecklich freigeben.",
+            f"{exc} Die Konsole akzeptiert keine unbekannten Schlüssel – bitte auf der "
+            f"{page} ausdrücklich freigeben.",
        )
    except ssh.SshError as exc:
        _send(ws, "error", str(exc))
@@ -304,7 +321,7 @@ def _read_command(ws, idle_timeout: int) -> str | None:  # type: ignore[no-untyp
    """Naechstes Kommando, oder ``None`` wenn die Sitzung enden soll."""
    raw = ws.receive(timeout=idle_timeout)
    if raw is None:
-        _send(ws, "info", "Verbindung wegen Untaetigkeit getrennt.")
+        _send(ws, "info", "Verbindung wegen Untätigkeit getrennt.")
        return None
    try:
        message = json.loads(raw)
@@ -392,6 +409,6 @@ def _run_client_session(  # type: ignore[no-untyped-def]
                _send(
                    ws,
                    "error",
-                    f"Rueckgabewert {result['status']} nach {result['duration_ms']} ms.",
+                    f"Rückgabewert {result['status']} nach {result['duration_ms']} ms.",
                )
    return commands
@@ -39,7 +39,7 @@ def cmd_create_admin(args: argparse.Namespace) -> int:
    if not password:
        password = getpass.getpass("Passwort: ")
        if password != getpass.getpass("Passwort wiederholen: "):
-            print("Die Passwoerter stimmen nicht ueberein.", file=sys.stderr)
+            print("Die Passwörter stimmen nicht überein.", file=sys.stderr)
            return 2

    problems = extension.password_policy.check(password, username=username)
@@ -75,7 +75,7 @@ def cmd_create_admin(args: argparse.Namespace) -> int:
                actor_id=user_id,
                action="user.admin_created",
                target=username,
-                detail=f"ueber die Kommandozeile {action}",
+                detail=f"über die Kommandozeile {action}",
                severity="warning",
            )
    print(f"Administrator {username!r} {action}.")
@@ -133,7 +133,7 @@ def cmd_status(args: argparse.Namespace) -> int:
    print(
        "Audit-Kette    : "
        + ("unversehrt" if chain["ok"] else f"GEBROCHEN bei Eintrag {chain['broken_at']}")
-        + f" ({chain['checked']} geprueft)"
+        + f" ({chain['checked']} geprüft)"
    )
    for key, value in counts.items():
        print(f"{key.capitalize():<15}: {value}")
@@ -168,6 +168,27 @@ def cmd_housekeeping(_args: argparse.Namespace) -> int:
    return 0


+def cmd_restore_signatures(_args: argparse.Namespace) -> int:
+    """Traegt Unterschriften aus dem Journal wieder in die Datenbank ein.
+
+    Gebraucht nach einer Wiederherstellung: die Freigabe traegt die Dateien
+    von gestern, die zurueckgespielte Datenbank ist von vorgestern -- die
+    Unterschriften dazwischen stehen dann nur noch im Journal neben dem
+    Protokollarchiv.
+    """
+    app, extension = _app_and_core()
+    from .services import fileshare
+
+    with app.app_context(), extension.database.session() as conn:
+        with extension.database.transaction(conn):
+            uebernommen = fileshare.signaturen_aus_journal(conn)
+        gesamt = int(
+            conn.execute("SELECT COUNT(*) FROM document_signatures").fetchone()[0]
+        )
+    print(f"{uebernommen} Unterschrift(en) übernommen, {gesamt} insgesamt.")
+    return 0
+
+
 def cmd_check_now(_args: argparse.Namespace) -> int:
    app, extension = _app_and_core()
    from .services import inventory, monitor
@@ -183,7 +204,7 @@ def cmd_check_now(_args: argparse.Namespace) -> int:
            license_allows_auto_restart=allowed,
        )
    print(
-        f"{report.checked} geprueft, {report.online} online, {report.offline} offline, "
+        f"{report.checked} geprüft, {report.online} online, {report.offline} offline, "
        f"{report.restarts_triggered} Neustarts ({report.restarts_ok} erfolgreich), "
        f"{report.duration_ms} ms"
    )
@@ -214,7 +235,7 @@ def cmd_convert_legacy(args: argparse.Namespace) -> int:
        return 2
    ziel = Path(args.ausgabe) if args.ausgabe else quelle.with_name(f"{quelle.stem}-neu.json")
    if ziel.exists() and not args.force:
-        print(f"{ziel} existiert bereits. Mit --force ueberschreiben.")
+        print(f"{ziel} existiert bereits. Mit --force überschreiben.")
        return 2

    alt_pass = args.passphrase or getpass("Passphrase der alten Datei: ")
@@ -231,7 +252,7 @@ def cmd_convert_legacy(args: argparse.Namespace) -> int:
        print("--dry-run: keine Datei geschrieben.")
        return 0

-    neu_pass = args.neue_passphrase or getpass("Passphrase fuer die neue Datei: ")
+    neu_pass = args.neue_passphrase or getpass("Passphrase für die neue Datei: ")
    try:
        ziel.write_text(transfer.seal(nutzlast, neu_pass), encoding="utf-8", newline="\n")
    except Exception as exc:  # noqa: BLE001 - Passphrase zu kurz, Pfad nicht schreibbar
@@ -265,10 +286,10 @@ def cmd_legacy_export(args: argparse.Namespace) -> int:
    quelle = Path(args.source)
    ziel = Path(args.out)
    if ziel.exists() and not args.force:
-        print(f"{ziel} existiert bereits. Mit --force ueberschreiben.")
+        print(f"{ziel} existiert bereits. Mit --force überschreiben.")
        return 2

-    passphrase = args.passphrase or getpass("Passphrase fuer die Exportdatei: ")
+    passphrase = args.passphrase or getpass("Passphrase für die Exportdatei: ")
    try:
        nutzlast, bericht = legacy.read_installation(quelle)
        inhalt = legacy.seal_legacy(nutzlast, passphrase)
@@ -354,7 +375,7 @@ def cmd_legacy_import(args: argparse.Namespace) -> int:
                action="backup.imported",
                detail="; ".join(
                    f"{key}: {zahlen['created']} neu, {zahlen['updated']} aktualisiert, "
-                    f"{zahlen['skipped']} uebersprungen"
+                    f"{zahlen['skipped']} übersprungen"
                    for key, zahlen in bericht.items()
                )
                + " (Kommandozeile)",
@@ -364,19 +385,20 @@ def cmd_legacy_import(args: argparse.Namespace) -> int:
    for key, zahlen in sorted(bericht.items()):
        print(
            f"  {key}: {zahlen['created']} neu, {zahlen['updated']} aktualisiert, "
-            f"{zahlen['skipped']} uebersprungen"
+            f"{zahlen['skipped']} übersprungen"
        )
    return 0

+
 def build_parser() -> argparse.ArgumentParser:
    parser = argparse.ArgumentParser(
-        prog="tesm-admin", description="Verwaltungswerkzeuge fuer TESM"
+        prog="tesm-admin", description="Verwaltungswerkzeuge für TESM"
    )
    sub = parser.add_subparsers(dest="command", required=True)

-    admin = sub.add_parser("create-admin", help="Administratorkonto anlegen oder zuruecksetzen")
+    admin = sub.add_parser("create-admin", help="Administratorkonto anlegen oder zurücksetzen")
    admin.add_argument("--username")
-    admin.add_argument("--password", help="Nur fuer automatisierte Installationen")
+    admin.add_argument("--password", help="Nur für automatisierte Installationen")
    admin.add_argument("--force", action="store_true", help="Passwortregeln ignorieren")
    admin.set_defaults(func=cmd_create_admin)

@@ -384,18 +406,24 @@ def build_parser() -> argparse.ArgumentParser:
    status.add_argument("--json", action="store_true")
    status.set_defaults(func=cmd_status)

-    house = sub.add_parser("housekeeping", help="Sitzungen, Ratenereignisse, Protokolle aufraeumen")
+    house = sub.add_parser("housekeeping", help="Sitzungen, Ratenereignisse, Protokolle aufräumen")
    house.set_defaults(func=cmd_housekeeping)

-    check = sub.add_parser("check-now", help="Einen Ueberwachungsdurchlauf sofort ausfuehren")
+    restore = sub.add_parser(
+        "restore-signatures",
+        help="Unterschriften aus dem Journal neben dem Protokollarchiv übernehmen",
+    )
+    restore.set_defaults(func=cmd_restore_signatures)
+
+    check = sub.add_parser("check-now", help="Einen Überwachungsdurchlauf sofort ausführen")
    check.set_defaults(func=cmd_check_now)

    legacy = sub.add_parser(
        "convert-legacy",
-        help="Export des alten TESM in das neue Format uebersetzen",
+        help="Export des alten TESM in das neue Format übersetzen",
        description=(
-            "Liest eine Exportdatei des Vorgaengers und schreibt eine Datei im "
-            "Format dieser Anwendung. Uebersetzt werden Clients, Switche, "
+            "Liest eine Exportdatei des Vorgängers und schreibt eine Datei im "
+            "Format dieser Anwendung. Übersetzt werden Clients, Switche, "
            "Zugangsdaten und die DHCP-Konfiguration."
        ),
    )
@@ -410,7 +438,7 @@ def build_parser() -> argparse.ArgumentParser:
    legacy.add_argument(
        "--dry-run", action="store_true", help="Nur den Bericht zeigen, nichts schreiben"
    )
-    legacy.add_argument("--force", action="store_true", help="Zieldatei ueberschreiben")
+    legacy.add_argument("--force", action="store_true", help="Zieldatei überschreiben")
    legacy.set_defaults(func=cmd_convert_legacy)


@@ -418,10 +446,10 @@ def build_parser() -> argparse.ArgumentParser:
        "legacy-export",
        help="Daten einer alten Installation als Exportdatei sichern",
        description=(
-            "Liest die Datenbank einer Installation der Vorgaengerfassung und schreibt "
+            "Liest die Datenbank einer Installation der Vorgängerfassung und schreibt "
            "Clients, Switche, Zugangsdaten und DHCP in eine Datei im alten Format. "
            "Die alte Installation wird nur gelesen. Ohne Browser und auch dann noch "
-            "moeglich, wenn die alte Anwendung nicht mehr startet."
+            "möglich, wenn die alte Anwendung nicht mehr startet."
        ),
    )
    export_alt.add_argument(
@@ -430,16 +458,16 @@ def build_parser() -> argparse.ArgumentParser:
    export_alt.add_argument("--out", required=True, help="Zieldatei")
    export_alt.add_argument("--passphrase", help="Passphrase der Zieldatei (sonst wird gefragt)")
    export_alt.add_argument("--dry-run", action="store_true", help="Nur den Bericht zeigen")
-    export_alt.add_argument("--force", action="store_true", help="Zieldatei ueberschreiben")
+    export_alt.add_argument("--force", action="store_true", help="Zieldatei überschreiben")
    export_alt.set_defaults(func=cmd_legacy_export)

    import_neu = sub.add_parser(
        "legacy-import",
        help="Datei im Format dieser Anwendung einlesen",
        description=(
-            "Liest eine Sicherungs- oder uebersetzte Datei ein -- derselbe Weg wie unter "
+            "Liest eine Sicherungs- oder übersetzte Datei ein – derselbe Weg wie unter "
            "Verwaltung -> Sicherung, nur ohne Browser. Ohne --categories werden alle "
-            "Kategorien uebernommen, die in der Datei stehen."
+            "Kategorien übernommen, die in der Datei stehen."
        ),
    )
    import_neu.add_argument("datei", help="Datei im Format dieser Anwendung")
@@ -13,6 +13,8 @@ from typing import Any
 from tesm_core.extension import core
 from tesm_core.nav import NavItem, NavTree

+from .permissions import DHCP_PAGE, SERVICING_PAGE
+

 def _module(name: str):
    """Bedingung: Vollmodul lizenziert?"""
@@ -36,7 +38,7 @@ def _has_fileshare_mounts(user: Any) -> bool:
        return False
    if not _module("fileshare")(user):
        return False
-    if user.has("fileshare.edit"):
+    if user.has("fileshare.write"):
        return True
    from .services import fileshare

@@ -45,10 +47,10 @@ def _has_fileshare_mounts(user: Any) -> bool:

 NAVIGATION = NavTree(
    [
-        NavItem(key="index", label="Statusuebersicht", icon="grid", endpoint="dashboard.index"),
+        NavItem(key="index", label="Statusübersicht", icon="grid", endpoint="dashboard.index"),
        NavItem(
            key="monitoring",
-            label="Ueberwachung",
+            label="Überwachung",
            icon="cpu",
            children=(
                NavItem(
@@ -56,45 +58,45 @@ NAVIGATION = NavTree(
                    label="Clients",
                    icon="cpu",
                    endpoint="devices.overview",
-                    permissions=("devices.view",),
+                    permissions=("devices.read",),
                ),
                NavItem(
                    key="switches",
                    label="Switche",
                    icon="switch",
                    endpoint="switches.overview",
-                    permissions=("switches.view",),
+                    permissions=("switches.read",),
                ),
                NavItem(
                    key="credentials",
                    label="Zugangsdaten",
                    icon="key",
                    endpoint="credentials.overview",
-                    permissions=("credentials.view",),
+                    permissions=("credentials.read",),
                ),
                NavItem(
                    key="hostkeys",
-                    label="Host-Schluessel",
+                    label="Host-Schlüssel",
                    icon="shield",
                    endpoint="hostkeys.overview",
-                    permissions=("devices.view", "switches.view"),
-                ),
-                NavItem(
-                    key="maintenance",
-                    label="Wartung",
-                    icon="wrench",
-                    endpoint="maintenance.overview",
-                    permissions=("maintenance.view", "maintenance.execute"),
-                    condition=_module("maintenance"),
+                    permissions=("devices.read", "switches.read"),
                ),
            ),
        ),
+        NavItem(
+            key="maintenance",
+            label="Wartung",
+            icon="wrench",
+            endpoint="maintenance.overview",
+            permissions=SERVICING_PAGE,
+            condition=_module("maintenance"),
+        ),
        NavItem(
            key="dhcp",
            label="DHCP-Server",
            icon="network",
            endpoint="dhcp.overview",
-            permissions=("dhcp.view", "dhcp.edit", "dhcp.execute"),
+            permissions=DHCP_PAGE,
            condition=_module("dhcp"),
        ),
        NavItem(
@@ -108,14 +110,14 @@ NAVIGATION = NavTree(
                    label="Meine Freigaben",
                    icon="folder",
                    endpoint="fileshare.browse",
-                    permissions=("fileshare.view",),
+                    permissions=("fileshare.read",),
                ),
                NavItem(
                    key="fileshare_mappings",
                    label="Zuordnungen",
                    icon="link",
                    endpoint="fileshare.mappings",
-                    permissions=("fileshare.edit",),
+                    permissions=("fileshare.write",),
                ),
            ),
        ),
@@ -129,28 +131,28 @@ NAVIGATION = NavTree(
                    label="Laufend",
                    icon="terminal",
                    endpoint="logs.live",
-                    permissions=("logs_live.view",),
+                    permissions=("logs_live.read",),
                ),
                NavItem(
                    key="logs_history",
                    label="Verlauf",
                    icon="clock",
                    endpoint="logs.history",
-                    permissions=("logs_history.view", "logs_history.export"),
+                    permissions=("logs_history.read", "logs_history.export"),
                ),
                NavItem(
                    key="logs_audit",
                    label="Audit",
                    icon="history",
                    endpoint="logs.audit_view",
-                    permissions=("logs_audit.view", "logs_audit.export"),
+                    permissions=("logs_audit.read", "logs_audit.export"),
                ),
                NavItem(
                    key="logs_dhcp",
-                    label="Kea-DHCP",
+                    label="DHCP",
                    icon="network",
                    endpoint="tesmlogs.dhcp",
-                    permissions=("logs_dhcp.view",),
+                    permissions=("logs_dhcp.read",),
                    condition=_module("dhcp"),
                ),
                NavItem(
@@ -158,7 +160,7 @@ NAVIGATION = NavTree(
                    label="Neustarts",
                    icon="power",
                    endpoint="tesmlogs.restarts",
-                    permissions=("devices.view",),
+                    permissions=("devices.read",),
                ),
            ),
        ),
@@ -172,42 +174,42 @@ NAVIGATION = NavTree(
                    label="Benutzer",
                    icon="users",
                    endpoint="admin.users",
-                    permissions=("users.view",),
+                    permissions=("users.read",),
                ),
                NavItem(
                    key="groups",
                    label="Gruppen und Rechte",
                    icon="shield-users",
                    endpoint="admin.groups",
-                    permissions=("groups.view",),
+                    permissions=("groups.read",),
                ),
                NavItem(
                    key="settings_system",
                    label="System",
                    icon="sliders",
                    endpoint="settings.system",
-                    permissions=("settings_system.view",),
+                    permissions=("settings_system.read",),
                ),
                NavItem(
                    key="settings_network",
                    label="Netzwerk",
                    icon="network",
                    endpoint="hostsettings.network",
-                    permissions=("settings_network.view",),
+                    permissions=("settings_network.read",),
                ),
                NavItem(
                    key="settings_web",
                    label="Webserver und TLS",
                    icon="server",
                    endpoint="hostsettings.web",
-                    permissions=("settings_web.view",),
+                    permissions=("settings_web.read",),
                ),
                NavItem(
                    key="settings_directory",
                    label="Verzeichnisdienst",
                    icon="users",
                    endpoint="hostsettings.directory_settings",
-                    permissions=("settings_directory.view",),
+                    permissions=("settings_directory.read",),
                ),
                NavItem(
                    key="settings_license",
@@ -216,28 +218,28 @@ NAVIGATION = NavTree(
                    endpoint="license.overview",
                    # Bewusst immer erreichbar, auch ohne gueltige Lizenz --
                    # sonst liesse sich eine neue Lizenz nie einspielen.
-                    permissions=("settings_license.view",),
+                    permissions=("settings_license.read",),
                ),
                NavItem(
                    key="backup",
                    label="Sicherung",
                    icon="transfer",
                    endpoint="backup.overview",
-                    permissions=("backup.view", "backup.export", "backup.execute"),
+                    permissions=("backup_export.read", "backup_import.read"),
                ),
                NavItem(
                    key="trash",
                    label="Papierkorb",
                    icon="trash",
                    endpoint="trash.overview",
-                    permissions=("trash.view",),
+                    permissions=("trash.read",),
                ),
                NavItem(
                    key="diagnostics",
                    label="Diagnose",
                    icon="info",
                    endpoint="diagnostics.overview",
-                    permissions=("diagnostics.view",),
+                    permissions=("diagnostics.read",),
                ),
            ),
        ),
@@ -30,101 +30,330 @@ A = Action
 DEVICES = Resource(
    key="devices",
    label="Clients",
-    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE, A.EXECUTE),
-    hint="Ueberwachte PoE-Endgeraete",
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE),
+    hint="Stammdaten überwachter PoE-Endgeräte: Name, MAC, IP, Switch und Port",
    action_hints={
-        A.EXECUTE: "PoE-Neustart eines Geraets manuell ausloesen. Der automatische "
-        "Neustart bei Ausfall ist davon unabhaengig und laeuft immer.",
-        A.DELETE: "Geraet in den Papierkorb legen.",
+        A.DELETE: "Gerät in den Papierkorb legen.",
+    },
+)
+
+#: Drei Wege, drei Rechte -- bisher hingen alle an ``devices.execute``.
+#:
+#: Wer jemandem den PoE-Neustart erlauben wollte (der Weg, der auch bei einem
+#: haengenden Geraet noch wirkt und nichts Laufendes unterbricht), erlaubte ihm
+#: damit zugleich, ein arbeitendes System ueber SSH herunterzufahren. Das sind
+#: drei verschiedene Eingriffe mit drei verschiedenen Folgen -- also drei
+#: Zeilen. Die Reihenfolge ist die der Rangfolge in ``services.restart``.
+DEVICE_RESTART_POE = Resource(
+    key="device_restart_poe",
+    parent="devices",
+    label="Clients: Neustart über PoE",
+    actions=(A.READ, A.EXECUTE),
+    hint="Portzyklus am Switch – wirkt in Sekunden, auch wenn das Gerät hängt",
+    action_hints={
+        A.READ: "Den Knopf sehen.",
+        A.EXECUTE: "Neustart auslösen. Bewusst nicht lizenzpflichtig: ein hängendes "
+        "Gerät soll man auch ohne gültige Lizenz von Hand neu starten können.",
+    },
+)
+
+DEVICE_RESTART_SSH = Resource(
+    key="device_restart_ssh",
+    parent="devices",
+    label="Clients: Neustart über SSH",
+    actions=(A.READ, A.EXECUTE),
+    hint="Sauberes Herunterfahren eines Linux-Geräts (Modul Wartung)",
+    action_hints={
+        A.EXECUTE: "Neustartauftrag anlegen. Dauert Minuten und setzt ein "
+        "antwortendes Gerät samt freigegebenem Host-Schlüssel voraus.",
+    },
+)
+
+DEVICE_RESTART_RPC = Resource(
+    key="device_restart_rpc",
+    parent="devices",
+    label="Clients: Neustart über RPC",
+    actions=(A.READ, A.EXECUTE),
+    hint="Windows-Gerät ohne SSH und ohne Host-Schlüssel (Modul Wartung)",
+    action_hints={A.EXECUTE: "Neustartauftrag anlegen (wie 'shutdown /m')."},
+)
+
+#: Die Client-Konsole lief unter ``maintenance.execute`` mit -- demselben Recht
+#: wie die Paketaktualisierung. Eine Sitzung auf einem Geraet ist aber etwas
+#: anderes als ein Auftrag, den der Server abarbeitet: hier tippt ein Mensch.
+DEVICE_CONSOLE = Resource(
+    key="device_console",
+    parent="devices",
+    label="Clients: Konsole",
+    actions=(A.READ, A.EXECUTE),
+    hint="Browser-Terminal auf einem Client (Modul Wartung)",
+    action_hints={
+        A.EXECUTE: "Sitzung öffnen. Verlangt eine frische Passwortbestätigung; "
+        "jede Sitzung wird vollständig mitgeschrieben.",
    },
 )

 SWITCHES = Resource(
    key="switches",
    label="Switche",
-    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE, A.EXECUTE),
-    hint="Aruba-Switche und ihre Erreichbarkeit",
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE),
+    hint="Aruba-Switche, ihre Erreichbarkeit und Ports",
+)
+
+SWITCH_CONSOLE = Resource(
+    key="switch_console",
+    parent="switches",
+    label="Switche: Konsole",
+    actions=(A.READ, A.EXECUTE),
+    hint="Kommandos auf dem Switch ausführen",
    action_hints={
-        A.EXECUTE: "Browser-Terminal oeffnen und Kommandos auf dem Switch ausfuehren. "
-        "Verlangt zusaetzlich eine frische Passwortbestaetigung; jede Sitzung wird "
-        "vollstaendig protokolliert.",
+        A.EXECUTE: "Sitzung öffnen. Verlangt eine frische Passwortbestätigung; "
+        "jede Sitzung wird vollständig mitgeschrieben.",
+    },
+)
+
+#: Einen geaenderten Host-Schluessel freizugeben hing an "Gerät ändern" bzw.
+#: "Switch ändern" -- also an einem Recht fuer Stammdaten. Es ist aber der
+#: Vorgang, mit dem man sagt: "dieses Geraet ist wirklich das, fuer das es sich
+#: ausgibt". Wer Namen und Standort pflegt, muss das nicht entscheiden duerfen.
+HOSTKEYS = Resource(
+    key="hostkeys",
+    label="Host-Schlüssel",
+    actions=(A.READ, A.EXECUTE),
+    hint="Ein Gerät meldet sich mit einem anderen SSH-Schlüssel als beim letzten Mal",
+    action_hints={
+        A.READ: "Offene und freigegebene Schlüssel sehen.",
+        A.EXECUTE: "Einen geänderten Schlüssel freigeben.",
    },
 )

 CREDENTIALS = Resource(
    key="credentials",
    label="Zugangsdaten",
-    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE, A.SECRETS),
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE, A.SECRETS),
    hint="Wiederverwendbare SSH-Logins",
    action_hints={
-        A.VIEW: "Namen und Benutzer sehen -- nicht das Passwort.",
+        A.READ: "Namen und Benutzer sehen – nicht das Passwort.",
        A.SECRETS: "Passwort im Klartext anzeigen. Verlangt eine frische "
-        "Passwortbestaetigung und wird protokolliert.",
+        "Passwortbestätigung und wird protokolliert.",
    },
 )

-MAINTENANCE = Resource(
-    key="maintenance",
-    label="Wartung",
-    actions=(A.VIEW, A.EXECUTE),
-    hint="Paketaktualisierung und Neustart per SSH (lizenzpflichtiges Modul)",
-    action_hints={A.EXECUTE: "Aktualisierung oder Neustart auf ausgewaehlten Geraeten starten."},
+#: Aus einer Zeile ("Aktualisierung und Neustart") wurden drei. Sie deckte
+#: vier Funktionen ab: Pakete aktualisieren, reihenweise neu starten, das
+#: Windows-Werkzeug installieren -- und die Client-Konsole, die jetzt bei den
+#: Clients steht, wo sie hingehoert.
+SERVICING_UPDATE = Resource(
+    key="servicing_update",
+    label="Paketaktualisierung",
+    actions=(A.READ, A.EXECUTE),
+    hint="Pakete auf ausgewählten Geräten aktualisieren (lizenzpflichtiges Modul)",
+    action_hints={A.EXECUTE: "Auftrag starten."},
 )

-DHCP = Resource(
-    key="dhcp",
-    label="DHCP-Server",
-    actions=(A.VIEW, A.EDIT, A.EXECUTE),
-    hint="Kea-DHCP: Subnetze, Optionen, Reservierungen (lizenzpflichtiges Modul)",
+SERVICING_REBOOT = Resource(
+    key="servicing_reboot",
+    label="Neustart als Auftrag",
+    actions=(A.READ, A.EXECUTE),
+    hint="Reihenweise Neustarts mit Wartezeit und Rückmeldung",
+    action_hints={A.EXECUTE: "Auftrag starten."},
+)
+
+SERVICING_TOOL = Resource(
+    key="servicing_tool",
+    label="Windows-Werkzeug installieren",
+    actions=(A.READ, A.EXECUTE),
+    hint="Voraussetzung für den RPC-Weg auf einem Windows-Gerät",
+    action_hints={A.EXECUTE: "Installation auslösen."},
+)
+
+#: Die Wartungsseite zeigt alle drei Aufgaben. Sie oeffnet, wer **eine** davon
+#: sehen darf -- und zeigt dann nur die. Als Konstante, damit die vier Routen
+#: dieselbe Antwort geben; einzeln getippt liefen sie irgendwann auseinander.
+SERVICING_PAGE: tuple[str, ...] = (
+    "servicing_update.read",
+    "servicing_reboot.read",
+    "servicing_tool.read",
+)
+
+#: Elf Funktionen hingen an ``dhcp.edit``: Grundeinstellungen, Subnetze,
+#: Optionen, Geraeteoptionen, eigene Optionen, Reservierungen und das
+#: Schreiben der Dienstkonfiguration. Wer eine Reservierung eintragen sollte,
+#: durfte damit auch Subnetze loeschen und die Konfiguration ueberschreiben.
+DHCP_SUBNETS = Resource(
+    key="dhcp_subnets",
+    label="DHCP: Subnetze",
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE),
+    hint="Bereiche, Gateway, DNS, Reihenfolge (lizenzpflichtiges Modul)",
+)
+
+DHCP_OPTIONS = Resource(
+    key="dhcp_options",
+    parent="dhcp_subnets",
+    label="DHCP: Optionen",
+    actions=(A.READ, A.WRITE),
+    hint="Globale Optionen, Optionen je Gerät und eigene Optionen",
+    action_hints={A.WRITE: "Werte setzen, eigene Optionen anlegen und entfernen."},
+)
+
+DHCP_RESERVATIONS = Resource(
+    key="dhcp_reservations",
+    parent="dhcp_subnets",
+    label="DHCP: Reservierungen",
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE),
+    hint="Feste Adressen zu einer MAC",
+)
+
+DHCP_CONFIG = Resource(
+    key="dhcp_config",
+    parent="dhcp_subnets",
+    label="DHCP: Konfiguration schreiben",
+    actions=(A.READ, A.EXECUTE),
+    hint="Den bearbeiteten Stand in die Dienstkonfiguration übernehmen",
    action_hints={
-        A.EDIT: "Konfiguration aendern und schreiben.",
-        A.EXECUTE: "Dienst installieren, starten oder stoppen.",
+        A.EXECUTE: "Schreiben und neu laden. Bis dahin ändert sich am laufenden "
+        "Dienst nichts – Bearbeiten und Wirksamwerden sind zwei Schritte.",
    },
 )

+DHCP_SERVICE = Resource(
+    key="dhcp_service",
+    parent="dhcp_subnets",
+    label="DHCP: Dienst",
+    actions=(A.READ, A.EXECUTE),
+    hint="Kea installieren, starten, stoppen",
+    action_hints={A.EXECUTE: "Dienstzustand ändern."},
+)
+
+#: Die DHCP-Seite zeigt alle Abschnitte; jeder Abschnitt haengt an seiner
+#: eigenen Zeile. Geoeffnet wird sie, wer einen davon sehen darf.
+DHCP_PAGE: tuple[str, ...] = (
+    "dhcp_subnets.read",
+    "dhcp_options.read",
+    "dhcp_reservations.read",
+    "dhcp_config.read",
+    "dhcp_service.read",
+)
+
 FILESHARE = Resource(
    key="fileshare",
    label="Dateifreigaben",
-    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE, A.EXPORT),
    hint="SMB-Freigaben aus dem Verzeichnisdienst (lizenzpflichtiges Modul)",
    action_hints={
        A.CREATE: "Ordner anlegen und Dateien hochladen.",
-        A.EDIT: "Umbenennen und verschieben.",
+        A.WRITE: "Umbenennen und verschieben.",
+        # Genau die Bedeutung aus der Legende: Daten aus dem System
+        # heraustragen. Ansehen und Mitnehmen sind zweierlei -- eine Vorschau
+        # bleibt im Haus, eine heruntergeladene Datei nicht.
+        A.EXPORT: "Dateien herunterladen.",
    },
+    # Exporte verlangen sonst eine frische Passwortbestaetigung. Hier nicht:
+    # Herunterladen ist in einer Dateifreigabe der Alltag, nicht der
+    # Sonderfall. Alle 15 Minuten ein Passwort waere Schikane -- und wuerde
+    # nur dazu fuehren, dass jemand das Recht pauschal vergibt oder ganz
+    # weglaesst. Die Grenze zieht hier das Recht selbst, nicht die Abfrage.
+    ohne_wiederanmeldung=(A.EXPORT,),
+)
+
+#: Eigene Zeile statt Anhaengsel von "Dateifreigaben": ein Formular auszufuellen
+#: ist ein anderer Vorgang als eine Datei hochzuladen, und wer umbenennen darf,
+#: soll deshalb nicht automatisch veraenderbare Formulare ablegen duerfen.
+FILESHARE_PDF = Resource(
+    key="fileshare_pdf",
+    parent="fileshare",
+    label="PDF-Formulare",
+    actions=(A.READ, A.CREATE, A.WRITE),
+    hint="Formulare in der Vorschau ausfüllen und in der Freigabe ablegen",
+    action_hints={
+        A.READ: "In der Vorschau ausfüllen (ohne Speichern).",
+        A.CREATE: "Ausgefüllt speichern – abgeschlossen, Felder gesperrt.",
+        A.WRITE: "Ausgefüllt speichern – weiter ausfüllbar, inklusive Bild.",
+    },
+)
+
+#: Unterschreiben ist kein Aendern: am Ende steht eine Fassung, die niemand
+#: mehr bearbeiten kann, mit Namen und Zeitpunkt im Dokument und einer
+#: Pruefsumme im Aenderungsprotokoll. Wer Dateien umbenennen darf, soll das
+#: nicht automatisch duerfen.
+FILESHARE_SIGNATURE = Resource(
+    key="fileshare_signature",
+    parent="fileshare",
+    label="Unterschriften",
+    actions=(A.READ, A.EXECUTE),
+    hint="Mit dem Finger unterschreiben; das Ergebnis ist unveränderbar",
+    action_hints={
+        A.READ: "Unterschriebene Dateien öffnen und die Prüfung sehen.",
+        A.EXECUTE: "Unterschreiben und abgeschlossen ablegen.",
+    },
+)
+
+#: Welche Verzeichnisfreigabe unter welchem Namen erscheint, ist Administration
+#: und kein Dateibetrieb -- es lief unter demselben Recht wie "umbenennen".
+FILESHARE_MAPPINGS = Resource(
+    key="fileshare_mappings",
+    parent="fileshare",
+    label="Freigabe-Zuordnungen",
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE),
+    hint="Verzeichnisgruppe, UNC-Pfad und Anzeigename einer Freigabe",
 )

 LOGS_DHCP = Resource(
    key="logs_dhcp",
-    label="Kea-DHCP-Protokoll",
-    actions=(A.VIEW,),
+    label="DHCP-Protokoll",
+    actions=(A.READ,),
 )

 MONITORING_AREA = Area(
    key="monitoring",
-    label="Ueberwachung",
+    label="Überwachung",
    icon="cpu",
-    hint="Geraete, Switche, Zugangsdaten und Wartung. Ohne diesen Zugang bleibt der "
+    hint="Geräte, Switche und Zugangsdaten. Ohne diesen Zugang bleibt der "
    "gesamte Bereich verborgen.",
-    resources=(DEVICES, SWITCHES, CREDENTIALS, MAINTENANCE),
+    resources=(
+        DEVICES,
+        DEVICE_RESTART_POE,
+        DEVICE_RESTART_SSH,
+        DEVICE_RESTART_RPC,
+        DEVICE_CONSOLE,
+        SWITCHES,
+        SWITCH_CONSOLE,
+        HOSTKEYS,
+        CREDENTIALS,
+    ),
+)
+
+#: Wartung ueberwacht nichts, sie greift ein -- und sie steht seit 2.5.0 als
+#: eigener Punkt im Menue. Der Bereichsschluessel heisst ``servicing``, weil
+#: ``maintenance`` schon die Ressource ist und Bereiche und Ressourcen sich
+#: einen Namensraum teilen. Nach aussen heisst beides "Wartung".
+MAINTENANCE_AREA = Area(
+    key="servicing",
+    label="Wartung",
+    icon="wrench",
+    hint="Paketpflege und Neustarts. Ohne diesen Zugang bleibt der Bereich "
+    "verborgen – auch wenn einzelne Rechte darunter gesetzt sind.",
+    resources=(SERVICING_UPDATE, SERVICING_REBOOT, SERVICING_TOOL),
 )

 NETWORK_AREA = Area(
    key="network",
    label="Netzwerkdienste",
    icon="network",
-    resources=(DHCP,),
+    resources=(DHCP_SUBNETS, DHCP_OPTIONS, DHCP_RESERVATIONS, DHCP_CONFIG, DHCP_SERVICE),
 )

 FILES_AREA = Area(
    key="files",
    label="Dateifreigaben",
    icon="folder",
-    resources=(FILESHARE,),
+    resources=(FILESHARE, FILESHARE_PDF, FILESHARE_SIGNATURE, FILESHARE_MAPPINGS),
 )

 PERMISSIONS = PermissionTree(
    [
        MONITORING_AREA,
+        MAINTENANCE_AREA,
        NETWORK_AREA,
        FILES_AREA,
        observability_area(LOGS_DHCP),
@@ -133,40 +362,78 @@ PERMISSIONS = PermissionTree(
 )


+#: Alle Funktionsrechte ausserhalb der Verwaltung, in einer Gruppe.
+#:
+#: Seit 2.8.0 heisst das Administratorkennzeichen "Verwaltung" und nicht
+#: "alles": Geraete, Neustarts, DHCP und Freigaben kommen ueber Gruppen. Diese
+#: Vorlage ist die Gruppe, die man sich dafuer zuweist -- und die Migration
+#: gibt sie bestehenden Administratoren, damit nach dem Update nichts fehlt,
+#: was vorher ging. Entfernen kann man sie mit einem Klick.
+#:
+#: Die Liste entsteht aus dem Baum und nicht aus Tippen: eine neue Zeile in der
+#: Matrix ist sonst genau die, die hier vergessen wird.
+FUNKTIONEN_VOLLZUGRIFF = RolePreset(
+    key="functions",
+    name="Funktionen (Vollzugriff)",
+    description=(
+        "Alle Rechte ausserhalb der Verwaltung. Gedacht fuer Administratoren, "
+        "die nicht nur einstellen, sondern auch bedienen."
+    ),
+    grants=tuple(
+        (resource.key, "*")
+        for area in PERMISSIONS.areas
+        if area.key != PermissionTree.VERWALTUNGSBEREICH
+        for resource in area.resources
+    ),
+)
+
+
 ROLE_PRESETS: tuple[RolePreset, ...] = (
    RolePreset(
        key="viewer",
        name="Benutzer",
-        description="Standardgruppe: Geraete und Switche ansehen, laufendes Protokoll lesen.",
+        description="Standardgruppe: Geräte und Switche ansehen, laufendes Protokoll lesen.",
        grants=(
-            ("devices", (A.VIEW,)),
-            ("switches", (A.VIEW,)),
-            ("logs_live", (A.VIEW,)),
+            ("devices", (A.READ,)),
+            ("switches", (A.READ,)),
+            ("logs_live", (A.READ,)),
        ),
        is_default=True,
    ),
    RolePreset(
        key="operations",
        name="Betrieb",
-        description="Geraete und Switche pflegen, Neustarts ausloesen, Wartung fahren.",
+        description="Geräte und Switche pflegen, Neustarts auslösen, Wartung fahren.",
        grants=(
            ("devices", "*"),
-            ("switches", (A.VIEW, A.CREATE, A.EDIT, A.EXECUTE)),
-            ("credentials", (A.VIEW,)),
-            ("maintenance", "*"),
-            ("logs_live", (A.VIEW,)),
-            ("logs_history", (A.VIEW,)),
-            ("trash", (A.VIEW, A.EDIT)),
+            ("device_restart_poe", "*"),
+            ("device_restart_ssh", "*"),
+            ("device_restart_rpc", "*"),
+            ("device_console", "*"),
+            ("switches", (A.READ, A.CREATE, A.WRITE)),
+            ("switch_console", "*"),
+            ("hostkeys", "*"),
+            ("credentials", (A.READ,)),
+            ("servicing_update", "*"),
+            ("servicing_reboot", "*"),
+            ("servicing_tool", "*"),
+            ("logs_live", (A.READ,)),
+            ("logs_history", (A.READ,)),
+            ("trash", (A.READ, A.WRITE)),
        ),
    ),
    RolePreset(
        key="support",
        name="Support",
-        description="Erste Hilfe am Telefon: Status sehen, PoE-Neustart ausloesen.",
+        description="Erste Hilfe am Telefon: Status sehen, PoE-Neustart auslösen.",
        grants=(
-            ("devices", (A.VIEW, A.EXECUTE)),
-            ("switches", (A.VIEW,)),
-            ("logs_live", (A.VIEW,)),
+            ("devices", (A.READ,)),
+            # Nur der PoE-Weg: der wirkt auch bei einem haengenden Geraet und
+            # unterbricht nichts Laufendes. SSH und RPC fahren ein arbeitendes
+            # System herunter -- das gehoert nicht in die erste Hilfe.
+            ("device_restart_poe", "*"),
+            ("switches", (A.READ,)),
+            ("logs_live", (A.READ,)),
        ),
    ),
    RolePreset(
@@ -174,49 +441,64 @@ ROLE_PRESETS: tuple[RolePreset, ...] = (
        name="Netzwerk",
        description="DHCP und Host-Netzwerkeinstellungen.",
        grants=(
-            ("dhcp", "*"),
+            ("dhcp_subnets", "*"),
+            ("dhcp_options", "*"),
+            ("dhcp_reservations", "*"),
+            ("dhcp_config", "*"),
+            ("dhcp_service", "*"),
            ("settings_network", "*"),
-            ("logs_dhcp", (A.VIEW,)),
-            ("devices", (A.VIEW,)),
-            ("switches", (A.VIEW,)),
+            ("logs_dhcp", (A.READ,)),
+            ("devices", (A.READ,)),
+            ("switches", (A.READ,)),
        ),
    ),
    RolePreset(
        key="auditor",
        name="Revision",
-        description="Nur lesen -- inklusive Aenderungsprotokoll und Diagnose.",
+        description="Nur lesen – inklusive Änderungsprotokoll und Diagnose.",
        grants=(
-            ("devices", (A.VIEW,)),
-            ("switches", (A.VIEW,)),
-            ("credentials", (A.VIEW,)),
-            ("dhcp", (A.VIEW,)),
-            ("users", (A.VIEW,)),
-            ("groups", (A.VIEW,)),
-            ("logs_live", (A.VIEW,)),
-            ("logs_history", (A.VIEW, A.EXPORT)),
-            ("logs_audit", (A.VIEW, A.EXPORT)),
-            ("diagnostics", (A.VIEW,)),
-            ("trash", (A.VIEW,)),
+            ("devices", (A.READ,)),
+            ("switches", (A.READ,)),
+            ("credentials", (A.READ,)),
+            ("dhcp_subnets", (A.READ,)),
+            ("dhcp_options", (A.READ,)),
+            ("dhcp_reservations", (A.READ,)),
+            ("users", (A.READ,)),
+            ("groups", (A.READ,)),
+            ("logs_live", (A.READ,)),
+            ("logs_history", (A.READ, A.EXPORT)),
+            ("logs_audit", (A.READ, A.EXPORT)),
+            ("diagnostics", (A.READ,)),
+            ("trash", (A.READ,)),
        ),
    ),
    RolePreset(
        key="administration",
        name="Administration",
-        description="Benutzer, Gruppen und Einstellungen -- ohne Admin-Kennzeichen.",
+        description="Benutzer, Gruppen und Einstellungen – ohne Admin-Kennzeichen.",
        grants=(
            ("users", "*"),
            ("groups", "*"),
            ("settings_system", "*"),
+            ("settings_nav", "*"),
            ("settings_license", "*"),
-            ("settings_directory", (A.VIEW, A.EDIT, A.EXECUTE)),
+            ("settings_directory", (A.READ, A.WRITE, A.EXECUTE)),
            ("settings_web", "*"),
            ("settings_network", "*"),
-            ("backup", (A.VIEW, A.EXECUTE, A.EXPORT)),
+            ("backup_export", (A.READ, A.EXPORT)),
+            ("backup_import", "*"),
            ("trash", "*"),
-            ("diagnostics", (A.VIEW,)),
-            ("logs_audit", (A.VIEW,)),
+            ("diagnostics", (A.READ,)),
+            ("logs_audit", (A.READ,)),
        ),
    ),
+    FUNKTIONEN_VOLLZUGRIFF,
 )

-__all__ = ["PERMISSIONS", "ROLE_PRESETS", "LOGS_DHCP"]
+__all__ = [
+    "PERMISSIONS",
+    "ROLE_PRESETS",
+    "LOGS_DHCP",
+    "SERVICING_PAGE",
+    "DHCP_PAGE",
+]
@@ -250,8 +250,166 @@ CREATE INDEX IF NOT EXISTS idx_restart_events_method ON restart_events(method, t
 """


+# Neue Rechte sind nach einem Update bei niemandem gesetzt -- ohne diesen
+# Schritt koennte niemand mehr herunterladen oder ein Formular speichern,
+# obwohl sich an den Gruppen nichts geaendert hat. Die Zuordnung bildet ab, was
+# vorher galt.
+V4 = """
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare.export' FROM group_permissions
+     WHERE permission = 'fileshare.read';
+
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare_pdf.read' FROM group_permissions
+     WHERE permission = 'fileshare.read';
+
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare_pdf.create' FROM group_permissions
+     WHERE permission = 'fileshare.create';
+
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare_pdf.write' FROM group_permissions
+     WHERE permission = 'fileshare.write';
+"""
+
+
+# Aus einem Schalter werden zwei. Wer die Konsole abgeschaltet hatte, soll sie
+# nicht durch ein Update zurueckbekommen -- der alte Wert gilt deshalb fuer
+# beide weiter. Fehlt er, greift die Vorgabe der Einstellung.
+V5 = """
+INSERT OR IGNORE INTO settings (key, value, updated_at, updated_by)
+    SELECT 'terminal_switches_enabled', value, datetime('now'), 'migration'
+      FROM settings WHERE key = 'terminal_enabled';
+
+INSERT OR IGNORE INTO settings (key, value, updated_at, updated_by)
+    SELECT 'terminal_clients_enabled', value, datetime('now'), 'migration'
+      FROM settings WHERE key = 'terminal_enabled';
+
+DELETE FROM settings WHERE key = 'terminal_enabled';
+"""
+
+
+# Wartung ist ein eigener Bereich geworden und hat damit einen eigenen
+# Kill-Switch. Ohne diesen Schritt waere sie nach dem Update bei allen weg:
+# das neue Bereichsrecht ist bei niemandem gesetzt, und ohne Bereichsrecht
+# greift kein Recht darunter.
+#
+# Bewusst nicht "alle, die ein Wartungsrecht haben": wer den Bereich
+# Ueberwachung nicht hatte, kam auch vorher nicht an die Wartung. Ein Update
+# darf Zugang erhalten, aber keinen neuen schaffen.
+#
+# Die Bedingung nennt absichtlich keine festen Schluessel, sondern Praefixe:
+# Wer von einer Fassung vor diesem Schritt direkt auf 2.8 geht, hat vorher die
+# Migrationen des Kerns durchlaufen (core laeuft vor der Anwendung) -- die
+# Rechte heissen dann schon "read"/"write" und die Wartungszeilen "servicing_".
+# Mit ausgeschriebenen Schluesseln fand dieser Schritt in genau diesem Fall
+# nichts und der Bereich waere doch weg. Ein Ueberrest ist die Zeile nicht:
+# eine angewendete Migration laeuft nie wieder.
+V6 = """
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT DISTINCT group_id, 'servicing.read'
+      FROM group_permissions
+     WHERE (permission LIKE 'maintenance.%' OR permission LIKE 'servicing%')
+       AND group_id IN (
+            SELECT group_id FROM group_permissions WHERE permission = 'monitoring.read'
+       );
+"""
+
+
+# Die Pruefung "unveraendert seit der Unterschrift" hing am Aenderungsprotokoll
+# -- und das wird ab 20.000 Zeilen tageweise in Dateien ausgelagert. Mit dem
+# ausgelagerten Tag waere die Pruefsumme aus der Datenbank verschwunden und
+# jede aeltere unterschriebene Fassung waere still zu "unbekannt" geworden.
+# Schlimmer noch: auch eine **veraenderte** Fassung, denn ohne Vergleichswert
+# gibt es keinen Widerspruch.
+#
+# Deshalb eine eigene, winzige Tabelle: eine Zeile je Unterschrift, nie
+# archiviert. Sie ist ein Verzeichnis, keine Wahrheit -- die Wahrheit bleibt
+# das Aenderungsprotokoll mit seiner Hash-Kette, auch im Archiv.
+V7 = """
+CREATE TABLE IF NOT EXISTS document_signatures (
+    id          INTEGER PRIMARY KEY AUTOINCREMENT,
+    sha256      TEXT NOT NULL,
+    share_label TEXT NOT NULL DEFAULT '',
+    path        TEXT NOT NULL DEFAULT '',
+    signed_at   TEXT NOT NULL,
+    actor       TEXT NOT NULL DEFAULT '',
+    names       TEXT NOT NULL DEFAULT '',
+    audit_id    INTEGER
+);
+
+CREATE INDEX IF NOT EXISTS idx_document_signatures_sha
+    ON document_signatures(sha256);
+
+CREATE INDEX IF NOT EXISTS idx_document_signatures_ort
+    ON document_signatures(share_label, path);
+"""
+
+
+def uebernehme_signaturen(conn) -> None:  # type: ignore[no-untyped-def]
+    """Traegt die bereits protokollierten Unterschriften ins Verzeichnis ein.
+
+    Ohne diesen Schritt waeren alle vor dem Update unterschriebenen Fassungen
+    ab sofort "unbekannt" -- richtig waere das nicht, die Eintraege stehen ja
+    noch da.
+    """
+    from .services import fileshare as service
+
+    zeilen = conn.execute(
+        "SELECT id, ts, actor, detail FROM audit_log WHERE action='fileshare.form_signed' "
+        "ORDER BY id"
+    ).fetchall()
+    for zeile in zeilen:
+        detail = str(zeile["detail"] or "")
+        gelesen = service.signaturdetail_lesen(detail)
+        if not gelesen["sha256"]:
+            continue
+        conn.execute(
+            "INSERT INTO document_signatures (sha256, share_label, path, signed_at, actor, "
+            "names, audit_id) VALUES (?,?,?,?,?,?,?)",
+            (
+                gelesen["sha256"],
+                gelesen["label"],
+                gelesen["pfad"],
+                str(zeile["ts"]),
+                str(zeile["actor"] or ""),
+                ", ".join(gelesen["namen"]),
+                int(zeile["id"]),
+            ),
+        )
+
+
+def uebergang_funktionsgruppe(conn) -> None:  # type: ignore[no-untyped-def]
+    """Bestehende Administratoren behalten ihre Funktionen -- ueber eine Gruppe.
+
+    Steht hier und nicht im Kern, weil erst die Anwendung weiss, welche Zeilen
+    ausserhalb der Verwaltung es gibt. Laeuft nach den Migrationen des Kerns
+    (die Rechte heissen dann schon read/write und sind aufgeteilt).
+    """
+    from tesm_core.rbac import service as rbac
+
+    from .permissions import FUNKTIONEN_VOLLZUGRIFF, PERMISSIONS
+
+    rbac.funktionsgruppe_fuer_administratoren(conn, PERMISSIONS, FUNKTIONEN_VOLLZUGRIFF)
+
+
 TESM_MIGRATIONS: tuple[Migration, ...] = (
    Migration(version=1, name="baseline", sql=V1),
    Migration(version=2, name="seed-dhcp-options", fn=seed_dhcp_options),
    Migration(version=3, name="restart-events", sql=V3),
+    Migration(
+        version=4,
+        name="fileshare-pdf-rechte",
+        sql=V4,
+        geaendert_weil="Die Rechteschluessel heissen seit 2.8.0 read/write. Auf einer frischen Installation laufen die Migrationen des Kerns zuerst, also muss dieser Schritt die neuen Namen setzen -- mit den alten blieben sie ungueltig.",
+    ),
+    Migration(version=5, name="terminal-getrennt", sql=V5),
+    Migration(
+        version=6,
+        name="wartung-eigener-bereich",
+        sql=V6,
+        geaendert_weil="Die Rechteschluessel heissen seit 2.8.0 read/write. Auf einer frischen Installation laufen die Migrationen des Kerns zuerst, also muss dieser Schritt die neuen Namen setzen -- mit den alten blieben sie ungueltig.",
+    ),
+    Migration(version=7, name="signaturverzeichnis", sql=V7, fn=uebernehme_signaturen),
+    Migration(version=8, name="funktionsgruppe-fuer-admins", fn=uebergang_funktionsgruppe),
 )
@@ -21,6 +21,9 @@ Sicherheitsrelevante Aenderungen gegenueber dem Vorgaenger:

 from __future__ import annotations

+import hashlib
+import zlib
+import json
 import logging
 import mimetypes
 import os
@@ -32,7 +35,7 @@ import sqlite3
 from dataclasses import dataclass
 from datetime import datetime, timedelta, timezone
 from pathlib import Path, PurePosixPath
-from typing import Any, Iterable
+from typing import Any, Iterable, Mapping

 from tesm_core.db import Database
 from tesm_core.extension import core
@@ -40,7 +43,7 @@ from tesm_core.extension import core
 logger = logging.getLogger(__name__)

 _UNC_HINT = (
-    "Der Freigabepfad muss die Form \\\\server\\freigabe haben. Schraegstriche "
+    "Der Freigabepfad muss die Form \\\\server\\freigabe haben. Schrägstriche "
    "gehen auch: //server/freigabe."
 )

@@ -57,6 +60,10 @@ PREVIEW_MIME: dict[str, str] = {
    ".gif": "image/gif",
    ".webp": "image/webp",
    ".bmp": "image/bmp",
+    # Das Format, in dem ein iPad fotografiert. Safari zeigt es an, andere
+    # Browser nicht -- die Vorschau sagt es dann und bietet den Download an.
+    ".heic": "image/heic",
+    ".heif": "image/heif",
    ".txt": "text/plain; charset=utf-8",
    ".csv": "text/plain; charset=utf-8",
    ".log": "text/plain; charset=utf-8",
@@ -68,6 +75,21 @@ PREVIEW_MIME: dict[str, str] = {
 #: im Ursprung der Anwendung ausgefuehrt. Download bleibt moeglich.


+def preview_kind(name: str) -> str:
+    """Welche Anzeige passt: ``bild``, ``pdf`` oder ``text``?
+
+    Die Unterscheidung gehoert hierher und nicht in die Vorlage: die
+    Zuordnung Endung -> MIME-Typ steht schon hier, und eine zweite Liste in
+    Jinja liefe frueher oder spaeter auseinander.
+    """
+    mime = PREVIEW_MIME.get(Path(name).suffix.lower(), "")
+    if mime.startswith("image/"):
+        return "bild"
+    if mime == "application/pdf":
+        return "pdf"
+    return "text"
+
+
 class FileshareError(Exception):
    """Fehler mit Klartextmeldung fuer die Oberflaeche."""

@@ -174,11 +196,11 @@ def resolve_unc_host(unc: str, suffixes: Iterable[str]) -> tuple[str, str]:
        kandidat = f"{host}.{suffix.strip('.')}"
        if _resolvable(kandidat):
            neu = chr(92) * 2 + kandidat + (chr(92) + rest if rest else "")
-            return neu, f"Name {host} ueber {kandidat} aufgeloest"
+            return neu, f"Name {host} über {kandidat} aufgelöst"
    return unc, (
-        f"Der Name {host} ist auf diesem Server nicht aufloesbar. Bitte den "
-        "vollqualifizierten Namen oder die IP-Adresse eintragen -- oder unter "
-        "Netzwerk eine Suchdomaene setzen."
+        f"Der Name {host} ist auf diesem Server nicht auflösbar. Bitte den "
+        "vollqualifizierten Namen oder die IP-Adresse eintragen – oder unter "
+        "Netzwerk eine Suchdomäne setzen."
    )


@@ -188,6 +210,50 @@ def list_mappings(conn: sqlite3.Connection) -> list[dict[str, Any]]:
    )


+#: Felder einer Zuordnung mit der Beschriftung, unter der sie in der
+#: Oberflaeche stehen. Das Protokoll soll dieselben Woerter benutzen wie das
+#: Formular -- sonst muss man beim Lesen uebersetzen.
+MAPPING_FELDER: tuple[tuple[str, str], ...] = (
+    ("label", "Anzeigename"),
+    ("unc", "Pfad"),
+    ("ad_group_name", "Gruppe"),
+    ("ad_group_dn", "Gruppen-DN"),
+)
+
+
+def get_mapping(conn: sqlite3.Connection, mapping_id: int) -> dict[str, Any] | None:
+    return Database.one(conn, "SELECT * FROM fileshare_mappings WHERE id=?", (mapping_id,))
+
+
+def describe_mapping(row: Mapping[str, Any] | None) -> str:
+    """Eine Zuordnung in einer Zeile -- fuer das Protokoll.
+
+    Ohne sie stand beim Loeschen nur die Nummer der Zuordnung im Protokoll.
+    Die ist nach dem Loeschen nirgends mehr nachschlagbar; damit war der
+    Eintrag da, aber wertlos.
+    """
+    if row is None:
+        return ""
+    teile = [str(row["unc"] or "")]
+    gruppe = str(row["ad_group_name"] or row["ad_group_dn"] or "")
+    if gruppe:
+        teile.append(f"Gruppe: {gruppe}")
+    return " – ".join(teil for teil in teile if teil)
+
+
+def mapping_changes(vorher: Mapping[str, Any] | None, nachher: Mapping[str, Any] | None) -> str:
+    """Was sich geaendert hat, Feld fuer Feld: ``Anzeigename: alt -> neu``."""
+    if vorher is None or nachher is None:
+        return ""
+    geaendert = []
+    for feld, beschriftung in MAPPING_FELDER:
+        alt = str(vorher[feld] or "")
+        neu = str(nachher[feld] or "")
+        if alt != neu:
+            geaendert.append(f"{beschriftung}: {alt or '(leer)'} -> {neu or '(leer)'}")
+    return "; ".join(geaendert)
+
+
 def add_mapping(
    conn: sqlite3.Connection, *, ad_group_dn: str, ad_group_name: str, label: str, unc: str
 ) -> int:
@@ -196,7 +262,7 @@ def add_mapping(
    if not clean_label:
        raise FileshareError("Der Anzeigename darf nicht leer sein.")
    if not (ad_group_dn or "").strip():
-        raise FileshareError("Es ist keine Verzeichnisgruppe ausgewaehlt.")
+        raise FileshareError("Es ist keine Verzeichnisgruppe ausgewählt.")
    cursor = conn.execute(
        "INSERT INTO fileshare_mappings (ad_group_dn, ad_group_name, label, unc, created_at) "
        "VALUES (?,?,?,?,?) ON CONFLICT(ad_group_dn, unc) DO NOTHING",
@@ -228,7 +294,7 @@ def update_mapping(
    if not clean_label:
        raise FileshareError("Der Anzeigename darf nicht leer sein.")
    if not clean_dn:
-        raise FileshareError("Es ist keine Verzeichnisgruppe ausgewaehlt.")
+        raise FileshareError("Es ist keine Verzeichnisgruppe ausgewählt.")

    vorhanden = Database.one(
        conn, "SELECT id FROM fileshare_mappings WHERE id=?", (mapping_id,)
@@ -299,12 +365,32 @@ def mount_root() -> Path:
    return Path(str(core().settings.get(db(), "fileshare_mount_root") or "/mnt/tesm-shares"))


-def active_mounts(conn: sqlite3.Connection, user_id: int) -> list[Mount]:
+def aktuelle_sitzung() -> str:
+    """Die ID der laufenden Sitzung -- oder leer ausserhalb einer Anfrage."""
+    from flask import session
+
+    return str(getattr(session, "sid", "") or "")
+
+
+def active_mounts(
+    conn: sqlite3.Connection, user_id: int, session_id: str | None = None
+) -> list[Mount]:
+    """Die offenen Einbindungen dieses Kontos.
+
+    Mit ``session_id`` nur die dieser Sitzung. Das braucht das Abmelden: wer
+    an zwei Geraeten angemeldet ist, hat je Geraet eine eigene Einbindung mit
+    eigenem Einhaengepunkt, und das Abmelden am einen darf das andere nicht
+    aushaengen.
+    """
+    bedingung = "AND session_id = ? " if session_id else ""
+    werte: list[Any] = [user_id, _iso(_now())]
+    if session_id:
+        werte.insert(1, session_id)
    rows = Database.all(
        conn,
-        "SELECT * FROM fileshare_mounts WHERE user_id=? AND released_at IS NULL "
-        "AND expires_at > ? ORDER BY label COLLATE NOCASE",
-        (user_id, _iso(_now())),
+        "SELECT * FROM fileshare_mounts WHERE user_id=? " + bedingung
+        + "AND released_at IS NULL AND expires_at > ? ORDER BY label COLLATE NOCASE, id DESC",
+        tuple(werte),
    )
    return [
        Mount(
@@ -325,6 +411,38 @@ def has_mounts(user_id: int) -> bool:
    return bool(active_mounts(db(), user_id))


+def doppelte_zusammenfassen(
+    conn: sqlite3.Connection, mounts: list[Mount], session_id: str = ""
+) -> list[Mount]:
+    """Je Freigabe eine Karteikarte -- vorzugsweise die dieser Sitzung.
+
+    Wer an zwei Geraeten angemeldet ist, hat zwei Einbindungen derselben
+    Freigabe: eine je Sitzung, jede mit eigenem Einhaengepunkt. In der Leiste
+    stand sie deshalb doppelt, einmal "Share" und einmal wieder "Share" -- ohne
+    jeden Unterschied fuer den Betrachter.
+
+    Genommen wird die Einbindung der eigenen Sitzung. Nur wenn es die nicht
+    gibt (alte Zeile, Hintergrundprozess), bleibt eine fremde stehen.
+    """
+    eigene: set[int] = set()
+    if session_id:
+        eigene = {
+            int(zeile["id"])
+            for zeile in Database.all(
+                conn,
+                "SELECT id FROM fileshare_mounts WHERE session_id=? AND released_at IS NULL",
+                (session_id,),
+            )
+        }
+    gewaehlt: dict[str, Mount] = {}
+    for mount in mounts:
+        schluessel = mount.unc.lower()
+        vorhanden = gewaehlt.get(schluessel)
+        if vorhanden is None or (mount.id in eigene and vorhanden.id not in eigene):
+            gewaehlt[schluessel] = mount
+    return sorted(gewaehlt.values(), key=lambda m: m.label.lower())
+
+
 def mount_for_login(
    conn: sqlite3.Connection,
    *,
@@ -344,7 +462,7 @@ def mount_for_login(
    extension = core()
    sysops = extension.sysops
    if sysops is None or not sysops.available:
-        return ["Systemhelfer nicht verfuegbar -- keine Einbindungen."]
+        return ["Systemhelfer nicht verfügbar – keine Einbindungen."]

    dns = [dn for dn in group_dns if dn and dn.strip()]
    shares = shares_for_groups(conn, dns)
@@ -367,9 +485,41 @@ def mount_for_login(
    # eingebunden, aber leer. Das betrifft die Anmeldung mit zweitem Faktor, bei
    # der das Passwort im zweiten Schritt nicht mehr vorliegt.
    if not password:
-        return ["Kein Passwort fuer den Fileserver verfuegbar -- keine Einbindungen."]
+        return ["Kein Passwort für den Fileserver verfügbar – keine Einbindungen."]

+    # Was zuerst kommt: das Ende der Sitzung oder die eigene Obergrenze. Die
+    # Sitzung ist die eigentliche Klammer -- mit ihr endet die Einbindung; die
+    # Obergrenze sorgt dafuer, dass eine sehr lange Sitzung nicht beliebig
+    # lange auf fremden Zugangsdaten sitzt.
    hours = int(extension.settings.get(conn, "fileshare_max_age_hours") or 12)
+    frist = _now() + timedelta(hours=hours)
+    # Die Sitzungszeile gibt es hier noch nicht: eingebunden wird waehrend der
+    # Anmeldung, geschrieben wird sie erst beim Speichern der Antwort. Die
+    # Dauer steht aber in derselben Einstellung, aus der die Sitzung sie
+    # gleich bekommt -- und falls die Zeile doch schon steht (erneutes
+    # Einbinden), gilt deren Ende.
+    zeile = (
+        Database.one(
+            conn, "SELECT absolute_expires_at FROM user_sessions WHERE id=?", (session_id,)
+        )
+        if session_id
+        else None
+    )
+    if zeile is not None and zeile["absolute_expires_at"]:
+        try:
+            sitzungsende = datetime.fromisoformat(str(zeile["absolute_expires_at"]))
+            if sitzungsende.tzinfo is None:
+                sitzungsende = sitzungsende.replace(tzinfo=timezone.utc)
+            frist = min(frist, sitzungsende)
+        except ValueError:
+            pass
+    else:
+        try:
+            dauer = int(extension.settings.get(conn, "session_absolute_hours") or 0)
+        except (TypeError, ValueError):
+            dauer = 0
+        if dauer > 0:
+            frist = min(frist, _now() + timedelta(hours=dauer))
    root = Path(str(extension.settings.get(conn, "fileshare_mount_root") or "/mnt/tesm-shares"))
    messages: list[str] = []

@@ -399,7 +549,7 @@ def mount_for_login(
                str(share["unc"]),
                str(target),
                _iso(_now()),
-                _iso(_now() + timedelta(hours=hours)),
+                _iso(frist),
            ),
        )
        messages.append(f"{share['label']}: eingebunden")
@@ -436,14 +586,30 @@ def forget_all_mounts(conn: sqlite3.Connection) -> int:
    return int(cursor.rowcount or 0)


-def release_all_for_user(conn: sqlite3.Connection, user_id: int) -> int:
+def release_all_for_user(conn: sqlite3.Connection, user_id: int, session_id: str = "") -> int:
+    """Loest die Einbindungen -- ohne Sitzung die des ganzen Kontos.
+
+    Beim Abmelden wird die Sitzung uebergeben: das andere Geraet desselben
+    Benutzers arbeitet weiter, seine Einbindung bleibt. Ohne Sitzung (etwa
+    beim Loeschen eines Kontos) faellt alles.
+    """
    count = 0
-    for mount in active_mounts(conn, user_id):
+    for mount in active_mounts(conn, user_id, session_id):
+        if session_id and not _gehoert_zur_sitzung(conn, mount.id, session_id):
+            continue
        release_mount(conn, mount.id)
        count += 1
    return count


+def _gehoert_zur_sitzung(conn: sqlite3.Connection, mount_id: int, session_id: str) -> bool:
+    """Zeilen ohne Sitzung werden beim Abmelden nicht mitgerissen."""
+    zeile = Database.one(
+        conn, "SELECT session_id FROM fileshare_mounts WHERE id=?", (mount_id,)
+    )
+    return zeile is not None and str(zeile["session_id"] or "") == session_id
+
+
 def sweep_expired(database: Any) -> int:
    """Loest abgelaufene Einbindungen -- laeuft im Hintergrundprozess.

@@ -454,7 +620,10 @@ def sweep_expired(database: Any) -> int:
    released = 0
    with database.session() as conn:
        # Eine Einbindung lebt genau so lange wie die Sitzung, aus der sie
-        # entstanden ist. Vorher hing sie an einer eigenen Frist von zwoelf
+        # entstanden ist. Ohne Sitzungsangabe gilt allein die eigene Frist:
+        # "keine Sitzung eingetragen" ist etwas anderes als "Sitzung
+        # abgelaufen". Diese Verwechslung hat jede frische Einbindung binnen
+        # Minuten wieder geloest, weil die ID beim Anmelden noch nicht stand. Vorher hing sie an einer eigenen Frist von zwoelf
        # Stunden: nach dem Abmelden -- oder nach der automatischen Abmeldung
        # bei Leerlauf -- blieb die Freigabe mit den Zugangsdaten des Benutzers
        # weiter eingebunden. Die eigene Frist bleibt als Obergrenze bestehen;
@@ -467,10 +636,11 @@ def sweep_expired(database: Any) -> int:
             LEFT JOIN user_sessions s ON s.id = m.session_id
             WHERE m.released_at IS NULL
               AND (m.expires_at <= ?
-                    OR s.id IS NULL
-                    OR s.revoked_at IS NOT NULL
-                    OR s.idle_expires_at <= ?
-                    OR s.absolute_expires_at <= ?)
+                    OR (COALESCE(m.session_id, '') <> ''
+                        AND (s.id IS NULL
+                             OR s.revoked_at IS NOT NULL
+                             OR s.idle_expires_at <= ?
+                             OR s.absolute_expires_at <= ?)))
            """,
            (_iso(_now()), _iso(_now()), _iso(_now())),
        )
@@ -496,14 +666,260 @@ def resolve_path(mount: Mount, relative: str) -> Path:
    """
    candidate = PurePosixPath((relative or "").strip().lstrip("/"))
    if any(part == ".." for part in candidate.parts):
-        raise FileshareError("Ungueltiger Pfad.")
+        raise FileshareError("Ungültiger Pfad.")
    root = mount.path.resolve()
    target = (root / str(candidate)).resolve()
    if target != root and root not in target.parents:
-        raise FileshareError("Der Pfad liegt ausserhalb der Freigabe.")
+        raise FileshareError("Der Pfad liegt außerhalb der Freigabe.")
    return target


+#: Wie eine unterschriebene Fassung im Aenderungsprotokoll steht. Die
+#: Pruefsumme ist der Anker -- sie steht im selben Eintrag wie der Name, den
+#: der Unterschreibende angegeben hat.
+SIGNATUR_AKTION = "fileshare.form_signed"
+
+
+def pruefsumme(pfad: Path) -> str:
+    """SHA-256 der Datei, blockweise gelesen."""
+    kessel = hashlib.sha256()
+    with pfad.open("rb") as strom:
+        for block in iter(lambda: strom.read(1024 * 1024), b""):
+            kessel.update(block)
+    return kessel.hexdigest()
+
+
+def signaturdetail_lesen(detail: str) -> dict[str, Any]:
+    """Zerlegt die Protokollzeile einer Unterschrift.
+
+    Aufbau: ``<Freigabe>:<Pfad> sha256=<Summe> -- angegeben unterschrieben
+    von: <Namen>``. Gelesen wird sie an zwei Stellen -- beim Uebernehmen
+    alter Eintraege und wenn das Verzeichnis nichts weiss.
+    """
+    # Der Trenner ist heute ein Zeilenumbruch, frueher ein Leerzeichen -- die
+    # Zerlegung muss beides vertragen, sonst sind alte Eintraege stumm.
+    ort, _, rest = detail.partition("sha256=")
+    ort = ort.strip()
+    label, _, pfad = ort.partition(":")
+    summe = rest.split(" ", 1)[0].strip() if rest else ""
+    return {
+        "sha256": summe,
+        "label": label.strip(),
+        "pfad": pfad.strip(),
+        "namen": _namen_aus_detail(detail),
+    }
+
+
+def signatur_merken(
+    conn: sqlite3.Connection,
+    *,
+    sha256: str,
+    label: str,
+    pfad: str,
+    actor: str,
+    namen: Iterable[str],
+    audit_id: int | None = None,
+) -> None:
+    """Haelt eine Unterschrift im Verzeichnis fest.
+
+    Das Aenderungsprotokoll bleibt der Beleg -- mit Hash-Kette und, nach der
+    Archivierung, in einer Datei. Dieses Verzeichnis ist nur der schnelle Weg
+    dorthin und wird nie ausgelagert; eine Zeile misst ein paar hundert Byte.
+    """
+    conn.execute(
+        "INSERT INTO document_signatures (sha256, share_label, path, signed_at, actor, "
+        "names, audit_id) VALUES (?,?,?,?,?,?,?)",
+        (
+            sha256,
+            label,
+            pfad,
+            _iso(_now()),
+            actor,
+            ", ".join(namen),
+            audit_id,
+        ),
+    )
+
+
+def signaturjournal() -> Path:
+    """Wo das zweite Exemplar liegt: neben dem Archiv des Protokolls."""
+    return core().audit_archive_dir / "signaturen.jsonl"
+
+
+def signatur_journalisieren(
+    *, sha256: str, label: str, pfad: str, actor: str, namen: Iterable[str]
+) -> None:
+    """Schreibt die Unterschrift zusaetzlich in eine Datei -- nur angehaengt.
+
+    Zwei Exemplare an zwei Orten: die Tabelle beantwortet die Frage schnell,
+    diese Datei ueberlebt auch eine zurueckgespielte aeltere Datenbank. Genau
+    das ist der Fall, den eine Sicherung erzeugt: die Datei auf der Freigabe
+    ist von gestern, die Datenbank von vorgestern -- ohne das Journal waere
+    die Unterschrift dazwischen verloren.
+
+    Ein Fehlschlag hier darf das Speichern nicht kippen: die Datei liegt
+    bereits auf der Freigabe, und Tabelle wie Aenderungsprotokoll haben den
+    Eintrag. Er wird protokolliert, nicht geworfen.
+    """
+    eintrag = {
+        "ts": _iso(_now()),
+        "sha256": sha256,
+        "share": label,
+        "path": pfad,
+        "actor": actor,
+        "names": list(namen),
+    }
+    try:
+        ziel = signaturjournal()
+        ziel.parent.mkdir(parents=True, exist_ok=True)
+        neu = not ziel.exists()
+        with ziel.open("a", encoding="utf-8", newline=chr(10)) as strom:
+            strom.write(json.dumps(eintrag, ensure_ascii=False, sort_keys=True) + chr(10))
+            strom.flush()
+            # Ohne fsync steht die Zeile im Puffer des Kernels -- genau der
+            # Zustand, gegen den dieses Journal geschrieben wurde.
+            os.fsync(strom.fileno())
+        if neu:
+            try:
+                os.chmod(ziel, 0o640)
+            except OSError:  # pragma: no cover - andere Dateisysteme
+                pass
+    except OSError as fehler:  # pragma: no cover - Plattenfehler
+        logger.warning("Signaturjournal nicht geschrieben: %s", fehler)
+
+
+def signaturen_aus_journal(conn: sqlite3.Connection) -> int:
+    """Traegt fehlende Unterschriften aus dem Journal in die Tabelle ein.
+
+    Der Weg zurueck nach einer Wiederherstellung. Vorhandene bleiben, wie sie
+    sind -- verglichen wird ueber Pruefsumme und Ablageort.
+    """
+    quelle = signaturjournal()
+    if not quelle.is_file():
+        return 0
+    uebernommen = 0
+    with quelle.open("r", encoding="utf-8") as strom:
+        for zeile in strom:
+            zeile = zeile.strip()
+            if not zeile:
+                continue
+            try:
+                eintrag = json.loads(zeile)
+            except ValueError:
+                continue
+            vorhanden = Database.value(
+                conn,
+                "SELECT 1 FROM document_signatures WHERE sha256=? AND path=? LIMIT 1",
+                (str(eintrag.get("sha256", "")), str(eintrag.get("path", ""))),
+            )
+            if vorhanden:
+                continue
+            conn.execute(
+                "INSERT INTO document_signatures (sha256, share_label, path, signed_at, "
+                "actor, names, audit_id) VALUES (?,?,?,?,?,?,NULL)",
+                (
+                    str(eintrag.get("sha256", "")),
+                    str(eintrag.get("share", "")),
+                    str(eintrag.get("path", "")),
+                    str(eintrag.get("ts", "")),
+                    str(eintrag.get("actor", "")),
+                    ", ".join(eintrag.get("names", []) or []),
+                ),
+            )
+            uebernommen += 1
+    return uebernommen
+
+
+def signaturstand(conn: sqlite3.Connection, mount: "Mount", relative: str) -> dict[str, Any]:
+    """Ist diese Datei die, die unterschrieben wurde?
+
+    Drei moegliche Antworten, und die dritte ist die wichtigste:
+
+    * ``unveraendert`` -- es gibt einen Protokolleintrag mit genau dieser
+      Pruefsumme. Die Datei ist Byte fuer Byte die unterschriebene.
+    * ``veraendert`` -- es gibt einen Eintrag zu genau diesem Ablageort, aber
+      mit anderer Pruefsumme. Jemand hat nach der Unterschrift etwas an der
+      Datei geaendert. Das ist der Fall, wegen dem es diese Pruefung gibt.
+    * ``unbekannt`` -- kein Eintrag. Kein Verdacht: die meisten Dateien in
+      einer Freigabe sind nie durch TESM gegangen.
+
+    Nachgeschlagen wird im Signaturverzeichnis (``document_signatures``) und
+    nicht im Aenderungsprotokoll: das wird ab 20.000 Zeilen tageweise in
+    Dateien ausgelagert, und mit dem ausgelagerten Tag waere die Pruefsumme aus
+    der Datenbank verschwunden. Eine aeltere unterschriebene Fassung waere
+    still zu "unbekannt" geworden -- und eine **veraenderte** ebenso, weil ohne
+    Vergleichswert niemand widerspricht. Das Verzeichnis wird nie archiviert.
+    """
+    ziel = resolve_path(mount, relative)
+    if not ziel.is_file():
+        return {"status": "unbekannt"}
+    hash_ = pruefsumme(ziel)
+
+    zeile = Database.one(
+        conn,
+        "SELECT signed_at, actor, names FROM document_signatures WHERE sha256=? "
+        "ORDER BY id DESC LIMIT 1",
+        (hash_,),
+    )
+    if zeile is not None:
+        return _stand("unveraendert", hash_, zeile)
+
+    # Nichts mit dieser Pruefsumme -- aber vielleicht etwas zu diesem Ort.
+    zeile = Database.one(
+        conn,
+        "SELECT signed_at, actor, names FROM document_signatures WHERE share_label=? "
+        "AND path=? ORDER BY id DESC LIMIT 1",
+        (mount.label, relative),
+    )
+    if zeile is not None:
+        return _stand("veraendert", hash_, zeile)
+    return {"status": "unbekannt", "sha256": hash_}
+
+
+def _stand(status: str, hash_: str, zeile: Any) -> dict[str, Any]:
+    namen = [teil.strip() for teil in str(zeile["names"] or "").split(",") if teil.strip()]
+    return {
+        "status": status,
+        "sha256": hash_,
+        "zeit": str(zeile["signed_at"]),
+        "konto": str(zeile["actor"] or ""),
+        "namen": namen,
+    }
+
+
+def _namen_aus_detail(detail: str) -> list[str]:
+    """Die angegebenen Namen aus dem Protokolltext -- ohne sie zu deuten."""
+    marke = "angegeben unterschrieben von: "
+    if marke not in detail:
+        return []
+    return [teil.strip() for teil in detail.split(marke, 1)[1].split(",") if teil.strip()]
+
+
+#: Mehr als das zaehlt niemand mehr mit dem Auge -- und auf einer
+#: Netzwerkfreigabe kostet jeder weitere Eintrag Zeit.
+ZAEHLGRENZE = 500
+
+
+def _inhalt_zaehlen(verzeichnis: Path) -> int:
+    """Wie viele Eintraege liegen im Ordner? Begrenzt gezaehlt.
+
+    Gezeigt wird die Zahl an der Stelle, an der bei einer Datei die Groesse
+    steht -- dort stand bisher ein Gedankenstrich. Bei mehr als
+    ``ZAEHLGRENZE`` bricht das Zaehlen ab: die Oberflaeche schreibt dann
+    "500+", und niemand wartet auf eine Freigabe mit 40.000 Dateien.
+    """
+    anzahl = 0
+    try:
+        with os.scandir(verzeichnis) as eintraege:
+            for _ in eintraege:
+                anzahl += 1
+                if anzahl >= ZAEHLGRENZE:
+                    break
+    except OSError:
+        return -1
+    return anzahl
+
+
 def list_directory(mount: Mount, relative: str = "") -> dict[str, Any]:
    path = resolve_path(mount, relative)
    if not path.is_dir():
@@ -525,9 +941,15 @@ def list_directory(mount: Mount, relative: str = "") -> dict[str, Any]:
                ),
            }
            if entry.is_dir():
+                record["entries"] = _inhalt_zaehlen(entry)
                directories.append(record)
            else:
                record["previewable"] = entry.suffix.lower() in PREVIEW_MIME
+                record["preview_kind"] = preview_kind(entry.name)
+                # Getrennt, damit die Oberflaeche nur den Namen zum Bearbeiten
+                # gibt und die Endung danebenstellt.
+                record["stem"] = entry.stem
+                record["suffix"] = entry.suffix
                files.append(record)
    except OSError as exc:
        raise FileshareError(f"Verzeichnis nicht lesbar ({exc}).") from exc
@@ -550,7 +972,7 @@ def preview_mime(name: str) -> str:
    suffix = Path(name).suffix.lower()
    if suffix in PREVIEW_MIME:
        return PREVIEW_MIME[suffix]
-    raise FileshareError("Fuer diesen Dateityp gibt es keine Vorschau -- bitte herunterladen.")
+    raise FileshareError("Für diesen Dateityp gibt es keine Vorschau – bitte herunterladen.")


 def download_mime(name: str) -> str:
@@ -562,16 +984,86 @@ def safe_filename(name: str) -> str:
    """Verhindert Pfadanteile und versteckte Dateien in Uploads/Neuanlagen."""
    cleaned = os.path.basename((name or "").strip().replace("\\", "/"))
    if not cleaned or cleaned in {".", ".."} or cleaned.startswith("."):
-        raise FileshareError("Ungueltiger Dateiname.")
+        raise FileshareError("Ungültiger Dateiname.")
    if len(cleaned) > 200:
        raise FileshareError("Der Dateiname ist zu lang.")
    return cleaned


+def all_directories(mount: Mount, *, tiefe: int = 4, grenze: int = 400) -> list[str]:
+    """Die Ordner der Freigabe, relativ und alphabetisch -- fuer eine Auswahlliste.
+
+    Begrenzt in Tiefe und Anzahl: eine Netzwerkfreigabe kann zehntausende
+    Verzeichnisse haben, und eine Liste, die den Browser lahmlegt, hilft
+    niemandem. Wer tiefer speichern will, tippt den Pfad -- das Feld nimmt
+    beides.
+    """
+    wurzel = mount.path.resolve()
+    gefunden: list[str] = []
+
+    def hinein(verzeichnis: Path, ebene: int) -> None:
+        if ebene > tiefe or len(gefunden) >= grenze:
+            return
+        try:
+            eintraege = sorted(verzeichnis.iterdir(), key=lambda e: e.name.lower())
+        except OSError:
+            return
+        for eintrag in eintraege:
+            if len(gefunden) >= grenze:
+                return
+            if not eintrag.is_dir() or eintrag.name.startswith("."):
+                continue
+            gefunden.append(eintrag.relative_to(wurzel).as_posix())
+            hinein(eintrag, ebene + 1)
+
+    hinein(wurzel, 1)
+    return gefunden
+
+
+def hat_formularfelder(daten: bytes) -> bool:
+    """Steckt in diesen PDF-Bytes noch ein ausfuellbares Formular?
+
+    Gesucht wird nach Formularfeldern (``/Subtype /Widget``) -- auch in
+    gepackten Objektstroemen, denn moderne Schreiber legen fast alles dort ab.
+    Ein flach gerechnetes Formular hat keine mehr.
+
+    Bewusst ohne Zusatzpaket: die Frage ist einfach genug, und eine
+    PDF-Bibliothek auf jedem Zielsystem waere ein hoher Preis dafuer.
+    """
+    text = bytearray(daten)
+    for treffer in re.finditer(rb"stream\r?\n", daten):
+        start = treffer.end()
+        ende = daten.find(b"endstream", start)
+        if ende == -1:
+            continue
+        try:
+            text += b"\n" + zlib.decompress(daten[start:ende])
+        except zlib.error:
+            continue  # kein zlib-Strom -- Bilder, Schriften, alles moegliche
+    return re.search(rb"/Subtype\s*/Widget", bytes(text)) is not None
+
+
+def free_name(parent: Path, stem: str, zusatz: str, suffix: str) -> Path:
+    """Ein freier Name neben dem Original: ``vorlage-ausgefuellt.pdf``.
+
+    Nichts ueberschreiben: auf einer Freigabe liegt meist die leere Vorlage,
+    und zwei Leute fuellen sie nacheinander aus. Ab dem zweiten Mal wird
+    durchnummeriert.
+    """
+    kandidat = parent / f"{stem}{zusatz}{suffix}"
+    zaehler = 2
+    while kandidat.exists():
+        kandidat = parent / f"{stem}{zusatz}-{zaehler}{suffix}"
+        zaehler += 1
+        if zaehler > 200:
+            raise FileshareError("Zu viele Dateien dieses Namens – bitte aufräumen.")
+    return kandidat
+
+
 def delete_entry(mount: Mount, relative: str) -> str:
    path = resolve_path(mount, relative)
    if path == mount.path.resolve():
-        raise FileshareError("Das Wurzelverzeichnis der Freigabe kann nicht geloescht werden.")
+        raise FileshareError("Das Wurzelverzeichnis der Freigabe kann nicht gelöscht werden.")
    if path.is_dir():
        shutil.rmtree(path)
        return "Verzeichnis"
@@ -589,8 +1081,26 @@ def make_directory(mount: Mount, relative: str, name: str) -> Path:


 def rename_entry(mount: Mount, relative: str, new_name: str) -> Path:
+    """Benennt um und behaelt die Endung der Datei.
+
+    Eingegeben wird nur der Name ohne Endung. Eine Datei, die danach auf
+    ``.pdf.txt`` oder auf gar nichts endet, waere auf einer Windows-Freigabe
+    praktisch kaputt -- sie oeffnet sich nicht mehr mit dem richtigen
+    Programm. Verzeichnisse haben keine Endung; dort bleibt der Name, wie er
+    eingegeben wurde.
+
+    Wer die Endung trotzdem mittippt, bekommt sie nicht doppelt.
+    """
    path = resolve_path(mount, relative)
-    target = path.parent / safe_filename(new_name)
+    endung = path.suffix if path.is_file() else ""
+    gewuenscht = (new_name or "").strip()
+    if endung and gewuenscht.lower().endswith(endung.lower()):
+        gewuenscht = gewuenscht[: -len(endung)]
+    if not gewuenscht:
+        raise FileshareError("Der Name darf nicht leer sein.")
+    target = path.parent / safe_filename(gewuenscht + endung)
+    if target == path:
+        return path
    if target.exists():
        raise FileshareError("Ein Eintrag mit diesem Namen existiert bereits.")
    path.rename(target)
@@ -54,13 +54,13 @@ def is_ssh_managed(category: str | None) -> bool:
 #: war "Windows-Client" vorher -- waehlbar, aber ohne jede Wirkung.
 CATEGORY_EFFECTS: dict[str, str] = {
    "switch": "Anmeldung an Switchen: PoE schalten, Konsole, Statusabfragen.",
-    "linux": "Wartung ueber SSH: Paketaktualisierung (apt) und Neustart. Konsole.",
+    "linux": "Wartung über SSH: Paketaktualisierung (apt) und Neustart. Konsole.",
    "windows": (
-        "Neustart ueber RPC (wie 'shutdown /m'). Kein SSH, kein Host-Schluessel. Das "
-        "Geraet braucht offene Datei- und Druckerfreigabe (Port 445); das Konto braucht "
+        "Neustart über RPC (wie 'shutdown /m'). Kein SSH, kein Host-Schlüssel. Das "
+        "Gerät braucht offene Datei- und Druckerfreigabe (Port 445); das Konto braucht "
        "das Recht, aus der Ferne herunterzufahren. Paketaktualisierung gibt es hier nicht."
    ),
-    "router": "Nur Dokumentation -- diese Kategorie loest keine Aktion aus.",
+    "router": "Nur Dokumentation – diese Kategorie löst keine Aktion aus.",
 }

 DEVICE_CATEGORIES: tuple[tuple[str, str], ...] = (
@@ -95,7 +95,7 @@ def normalize_mac(value: str) -> str:
    cleaned = re.sub(r"[^0-9a-fA-F]", "", value or "")
    if len(cleaned) != 12:
        raise ValidationError(
-            "Die MAC-Adresse muss zwoelf hexadezimale Zeichen enthalten "
+            "Die MAC-Adresse muss zwölf hexadezimale Zeichen enthalten "
            "(z. B. aa:bb:cc:dd:ee:ff)."
        )
    return ":".join(cleaned[index : index + 2] for index in range(0, 12, 2)).lower()
@@ -106,7 +106,7 @@ def validate_ip(value: str, *, field: str = "IP-Adresse") -> str:
    try:
        ipaddress.ip_address(text)
    except ValueError as exc:
-        raise ValidationError(f"{field}: {text!r} ist keine gueltige IP-Adresse.") from exc
+        raise ValidationError(f"{field}: {text!r} ist keine gültige IP-Adresse.") from exc
    return text


@@ -116,7 +116,7 @@ def validate_port_name(value: str) -> str:
        return ""
    if not PORT_RE.match(text):
        raise ValidationError(
-            "Die Portbezeichnung enthaelt unerlaubte Zeichen (erlaubt: Buchstaben, "
+            "Die Portbezeichnung enthält unerlaubte Zeichen (erlaubt: Buchstaben, "
            "Ziffern, / . : -)."
        )
    return text
@@ -125,7 +125,7 @@ def validate_port_name(value: str) -> str:
 def validate_hostname(value: str) -> str:
    text = (value or "").strip()
    if not HOSTNAME_RE.match(text):
-        raise ValidationError("Der Hostname enthaelt unerlaubte Zeichen oder ist leer.")
+        raise ValidationError("Der Hostname enthält unerlaubte Zeichen oder ist leer.")
    return text


@@ -208,7 +208,7 @@ def create_credential(
        if existing["deleted_at"]:
            raise ValidationError(
                f"Zugangsdaten namens {clean_name!r} liegen im Papierkorb. Stellen Sie sie "
-                "wieder her oder loeschen Sie sie endgueltig."
+                "wieder her oder löschen Sie sie endgültig."
            )
        raise ValidationError(f"Zugangsdaten namens {clean_name!r} existieren bereits.")

@@ -258,11 +258,11 @@ def update_credential(
    if clean_name != str(row["name"]):
        changes.append(f"Name: {row['name']} -> {clean_name}")
    if (username or "").strip() != str(row["username"] or ""):
-        changes.append("Benutzer geaendert")
+        changes.append("Benutzer geändert")
    if category != str(row["category"]):
        changes.append(f"Kategorie: {row['category']} -> {category}")
    if (description or "").strip() != str(row["description"] or ""):
-        changes.append("Beschreibung geaendert")
+        changes.append("Beschreibung geändert")

    conn.execute(
        "UPDATE credentials SET name=?, username=?, category=?, description=?, updated_at=?, "
@@ -274,7 +274,7 @@ def update_credential(
            "UPDATE credentials SET secret_encrypted=? WHERE id=?",
            (keystore.encrypt(secret, aad=aad_for_credential(credential_id)), credential_id),
        )
-        changes.append("Passwort geaendert")
+        changes.append("Passwort geändert")
    return changes


@@ -296,8 +296,8 @@ def credential_secret(
        secret = keystore.decrypt(encrypted, aad=aad_for_credential(int(credential_id)))
    except DecryptionError as exc:
        raise ValidationError(
-            "Das gespeicherte Passwort konnte nicht entschluesselt werden. Wurde der "
-            "Datenschluessel ausgetauscht? Bitte die Zugangsdaten neu eingeben."
+            "Das gespeicherte Passwort konnte nicht entschlüsselt werden. Wurde der "
+            "Datenschlüssel ausgetauscht? Bitte die Zugangsdaten neu eingeben."
        ) from exc
    return str(row["username"] or ""), secret

@@ -315,7 +315,7 @@ def delete_credential(conn: sqlite3.Connection, credential_id: int) -> None:
    if int(row.get("switches") or 0) or int(row.get("devices") or 0):
        raise ValidationError(
            f"Diese Zugangsdaten werden noch von {row.get('switches')} Switch(en) und "
-            f"{row.get('devices')} Geraet(en) verwendet."
+            f"{row.get('devices')} Gerät(en) verwendet."
        )
    conn.execute("UPDATE credentials SET deleted_at=? WHERE id=?", (_now(), credential_id))

@@ -509,7 +509,7 @@ def delete_switch(conn: sqlite3.Connection, switch_id: int) -> None:
    )
    if int(count or 0):
        raise ValidationError(
-            f"Diesem Switch sind noch {count} Geraet(e) zugeordnet. Bitte zuerst umhaengen."
+            f"Diesem Switch sind noch {count} Gerät(e) zugeordnet. Bitte zuerst umhängen."
        )
    conn.execute("UPDATE switches SET deleted_at=? WHERE id=?", (_now(), switch_id))

@@ -590,13 +590,13 @@ def create_device(
    )
    if existing is not None:
        if existing["deleted_at"]:
-            raise ValidationError(f"Ein Geraet mit der MAC {clean_mac} liegt im Papierkorb.")
-        raise ValidationError(f"Ein Geraet mit der MAC {clean_mac} existiert bereits.")
+            raise ValidationError(f"Ein Gerät mit der MAC {clean_mac} liegt im Papierkorb.")
+        raise ValidationError(f"Ein Gerät mit der MAC {clean_mac} existiert bereits.")

    if switch_id and not clean_port:
        raise ValidationError(
-            "Zu einem zugeordneten Switch gehoert eine Portbezeichnung -- sonst ist kein "
-            "PoE-Neustart moeglich."
+            "Zu einem zugeordneten Switch gehört eine Portbezeichnung – sonst ist kein "
+            "PoE-Neustart möglich."
        )

    cursor = conn.execute(
@@ -651,7 +651,7 @@ def update_device(
        conn, "SELECT * FROM devices WHERE id=? AND deleted_at IS NULL", (device_id,)
    )
    if row is None:
-        raise ValidationError("Dieses Geraet existiert nicht (mehr).")
+        raise ValidationError("Dieses Gerät existiert nicht (mehr).")
    clean_name = (name or "").strip()
    if not clean_name:
        raise ValidationError("Der Name darf nicht leer sein.")
@@ -664,9 +664,9 @@ def update_device(
        (clean_mac, device_id),
    )
    if clash is not None:
-        raise ValidationError(f"Ein Geraet mit der MAC {clean_mac} existiert bereits.")
+        raise ValidationError(f"Ein Gerät mit der MAC {clean_mac} existiert bereits.")
    if switch_id and not clean_port:
-        raise ValidationError("Zu einem zugeordneten Switch gehoert eine Portbezeichnung.")
+        raise ValidationError("Zu einem zugeordneten Switch gehört eine Portbezeichnung.")

    changes: list[str] = []
    for label, before, after in (
@@ -677,6 +677,12 @@ def update_device(
        ("Port", str(row["port"] or ""), clean_port),
        ("Aktiv", str(bool(row["is_active"])), str(bool(is_active))),
        ("Automatischer Neustart", str(bool(row["auto_restart"])), str(bool(auto_restart))),
+        # Diese vier fehlten: eine geaenderte Kategorie oder ein anderer
+        # SSH-Port stand nirgends, obwohl beides das Verhalten aendert.
+        ("SSH-Port", str(row["ssh_port"] or ""), str(validate_ssh_port(ssh_port) or "")),
+        ("Zugangsdaten", str(row["credential_id"] or ""), str(credential_id or "")),
+        ("Kategorie", str(row["category"] or ""), (category or "").strip()),
+        ("Standort", str(row["location"] or ""), (location or "").strip()),
    ):
        if before != after:
            changes.append(f"{label}: {before or '-'} -> {after or '-'}")
@@ -46,7 +46,7 @@ STANDARD_OPTIONS: tuple[tuple[int, str, str, str], ...] = (
    (9, "lpr-servers", "ipv4-address", "LPR-Druckserver"),
    (10, "impress-servers", "ipv4-address", "Impress-Server"),
    (11, "resource-location-servers", "ipv4-address", "Resource Location Server"),
-    (13, "boot-size", "uint16", "Boot-Image-Groesse (Bloecke)"),
+    (13, "boot-size", "uint16", "Boot-Image-Größe (Blöcke)"),
    (14, "merit-dump", "string", "Crash-Dump-Datei"),
    (16, "swap-server", "ipv4-address", "Swap-Server"),
    (17, "root-path", "string", "Root-Pfad (NFS)"),
@@ -54,8 +54,8 @@ STANDARD_OPTIONS: tuple[tuple[int, str, str, str], ...] = (
    (19, "ip-forwarding", "boolean", "IP-Forwarding aktivieren"),
    (20, "non-local-source-routing", "boolean", "Non-Local Source Routing"),
    (21, "policy-filter", "string", "Policy Filter (Ziel,Maske,...)"),
-    (22, "max-dgram-reassembly", "uint16", "Maximale Datagramm-Reassemblierungsgroesse"),
-    (23, "default-ip-ttl", "uint8", "Standard-TTL fuer IP"),
+    (22, "max-dgram-reassembly", "uint16", "Maximale Datagramm-Reassemblierungsgröße"),
+    (23, "default-ip-ttl", "uint8", "Standard-TTL für IP"),
    (24, "path-mtu-aging-timeout", "uint32", "Path-MTU-Aging-Timeout (Sek.)"),
    (25, "path-mtu-plateau-table", "uint16", "Path-MTU-Plateau-Tabelle"),
    (26, "interface-mtu", "uint16", "MTU des Interfaces"),
@@ -69,7 +69,7 @@ STANDARD_OPTIONS: tuple[tuple[int, str, str, str], ...] = (
    (34, "trailer-encapsulation", "boolean", "Trailer Encapsulation"),
    (35, "arp-cache-timeout", "uint32", "ARP-Cache-Timeout (Sek.)"),
    (36, "ieee802-3-encapsulation", "boolean", "Ethernet-Encapsulation (IEEE 802.3)"),
-    (37, "default-tcp-ttl", "uint8", "Standard-TTL fuer TCP"),
+    (37, "default-tcp-ttl", "uint8", "Standard-TTL für TCP"),
    (38, "tcp-keepalive-interval", "uint32", "TCP-Keepalive-Intervall (Sek.)"),
    (40, "nis-domain", "string", "NIS-Domain"),
    (41, "nis-servers", "ipv4-address", "NIS-Server"),
@@ -190,12 +190,12 @@ def validate_subnet(
 ) -> str:
    """Rueckgabe: leerer String bei Erfolg, sonst die Fehlermeldung."""
    if not interface:
-        return "Es ist kein Interface ausgewaehlt."
+        return "Es ist kein Interface ausgewählt."
    try:
        start = ipaddress.ip_address(range_start)
        end = ipaddress.ip_address(range_end)
    except ValueError:
-        return "Start- und Endadresse muessen gueltige IPv4-Adressen sein."
+        return "Start- und Endadresse müssen gültige IPv4-Adressen sein."
    if int(end) < int(start):
        return "Die Endadresse liegt vor der Startadresse."
    if matching_network(networks, interface, range_start, range_end) is None:
@@ -405,7 +405,7 @@ def render_config(
            # fuehren, dass gar keine Konfiguration mehr geschrieben wird.
            warnings.append(
                f"Subnetz {subnet['range_start']}-{subnet['range_end']} auf {interface} "
-                "passt in kein aktuelles Netz und wurde uebersprungen."
+                "passt in kein aktuelles Netz und wurde übersprungen."
            )
            continue
        interfaces.add(interface)
@@ -444,7 +444,7 @@ def render_config(
        )

    if not subnet_entries:
-        warnings.append("Es ist kein gueltiges Subnetz konfiguriert -- Kea wuerde nicht starten.")
+        warnings.append("Es ist kein gültiges Subnetz konfiguriert | Kea würde nicht starten.")

    global_option_data = option_data(global_values)
    domain = str(settings.get("dhcp_domain") or "").strip()
@@ -560,14 +560,14 @@ class Lease:
 #: benutzte, und ein Geraet, das noch auf einer alten Adresse haengt, faellt
 #: ueberhaupt nicht auf.
 RESERVATION_STATES: dict[str, tuple[str, str]] = {
-    "aktiv": ("online", "Das Geraet benutzt diese Adresse gerade."),
-    "abgelaufen": ("", "Lease auf dieser Adresse ist abgelaufen -- Geraet derzeit nicht da."),
+    "aktiv": ("online", "Das Gerät benutzt diese Adresse gerade."),
+    "abgelaufen": ("", "Lease auf dieser Adresse ist abgelaufen | Gerät derzeit nicht da."),
    "andere_adresse": (
        "warning",
-        "Das Geraet haelt noch eine Lease auf einer anderen Adresse. Es uebernimmt die "
+        "Das Gerät hält noch eine Lease auf einer anderen Adresse. Es übernimmt die "
        "Reservierung erst nach Ablauf oder Neuanforderung.",
    ),
-    "unbenutzt": ("", "Fuer dieses Geraet liegt keine Lease vor."),
+    "unbenutzt": ("", "Für dieses Gerät liegt keine Lease vor."),
 }


@@ -42,19 +42,19 @@ SUPPORTED = ("credentials", "switches", "devices", "dhcp")
 KNOWN_UNSUPPORTED: dict[str, str] = {
    "users": (
        "Lokale Konten: der alte Passwort-Hash ist bcrypt, diese Anwendung "
-        "verwendet Argon2id. Ein Hash laesst sich nicht umrechnen -- das ist sein "
+        "verwendet Argon2id. Ein Hash lässt sich nicht umrechnen – das ist sein "
        "Zweck. Konten neu anlegen."
    ),
-    "groups": "Gruppen und Rechte: die Rechteschluessel wurden neu geschnitten.",
+    "groups": "Gruppen und Rechte: die Rechteschlüssel wurden neu geschnitten.",
    "ldap": (
        "Verzeichnisdienst: Einstellungen, Gruppen- und Freigabe-Zuordnungen von "
-        "Hand uebertragen."
+        "Hand übertragen."
    ),
-    "nginx": "Webserver: Domain, Ports und Zertifikat von Hand uebertragen.",
+    "nginx": "Webserver: Domain, Ports und Zertifikat von Hand übertragen.",
    "logs": "Auditlog: bleibt bewusst beim alten System.",
    "known_hosts": (
-        "SSH-Host-Schluessel: werden hier je Geraet mit Fingerprint gefuehrt und "
-        "ueber die Seite 'Host-Schluessel' freigegeben."
+        "SSH-Host-Schlüssel: werden hier je Gerät mit Fingerprint geführt und "
+        "über die Seite 'Host-Schlüssel' freigegeben."
    ),
 }

@@ -119,10 +119,10 @@ def open_legacy(raw: bytes | str, passphrase: str) -> dict[str, Any]:
    except ValueError as exc:
        raise LegacyTransferError("Die Datei ist kein JSON.") from exc
    if not isinstance(envelope, dict):
-        raise LegacyTransferError("Die Datei enthaelt kein Objekt.")
+        raise LegacyTransferError("Die Datei enthält kein Objekt.")
    if str(envelope.get("app") or "") != LEGACY_APP_TAG:
        raise LegacyTransferError(
-            f"Diese Datei gehoert zu {envelope.get('app') or 'einer unbekannten Anwendung'!r}, "
+            f"Diese Datei gehört zu {envelope.get('app') or 'einer unbekannten Anwendung'!r}, "
            "nicht zu TESM."
        )
    for schluessel in ("salt", "payload"):
@@ -142,15 +142,15 @@ def open_legacy(raw: bytes | str, passphrase: str) -> dict[str, Any]:
        klartext = Fernet(key).decrypt(str(envelope["payload"]).encode("utf-8"))
    except (InvalidToken, ValueError) as exc:
        raise LegacyTransferError(
-            "Entschluesselung fehlgeschlagen -- falsche Passphrase oder beschaedigte Datei."
+            "Entschlüsselung fehlgeschlagen – falsche Passphrase oder beschädigte Datei."
        ) from exc

    try:
        payload = json.loads(klartext.decode("utf-8"))
    except ValueError as exc:
-        raise LegacyTransferError("Die entschluesselte Nutzlast ist kein JSON.") from exc
+        raise LegacyTransferError("Die entschlüsselte Nutzlast ist kein JSON.") from exc
    if not isinstance(payload, dict):
-        raise LegacyTransferError("Die Nutzlast enthaelt kein Objekt.")
+        raise LegacyTransferError("Die Nutzlast enthält kein Objekt.")
    return payload


@@ -180,14 +180,14 @@ def _credentials(items: Any, report: Report) -> list[dict[str, Any]]:
    for entry in _liste(items):
        name = str(entry.get("name") or "").strip()
        if not name:
-            report.note("Zugangsdaten ohne Namen uebersprungen.")
+            report.note("Zugangsdaten ohne Namen übersprungen.")
            continue
        umgesetzt: dict[str, Any] = {
            "name": name,
            "username": str(entry.get("username") or ""),
            "category": _category(entry.get("category"), report, f"Zugangsdaten {name!r}"),
            # Der Vorgaenger kennt kein Beschreibungsfeld.
-            "description": "aus altem TESM uebernommen",
+            "description": "aus altem TESM übernommen",
        }
        # Der alte Export entschluesselt das Passwort und legt es im Klartext in
        # die -- als Ganzes passphrasenverschluesselte -- Datei. Beim Import
@@ -199,8 +199,8 @@ def _credentials(items: Any, report: Report) -> list[dict[str, Any]]:
        ergebnis.append(umgesetzt)
    if ohne_passwort:
        report.note(
-            f"{ohne_passwort} Zugangsdaten ohne Passwort in der Datei -- "
-            "sie muessen nachgetragen werden."
+            f"{ohne_passwort} Zugangsdaten ohne Passwort in der Datei – "
+            "sie müssen nachgetragen werden."
        )
    report.took("credentials", len(ergebnis))
    return ergebnis
@@ -211,7 +211,7 @@ def _switches(items: Any, report: Report) -> list[dict[str, Any]]:
    for entry in _liste(items):
        hostname = str(entry.get("hostname") or "").strip()
        if not hostname:
-            report.note("Switch ohne Hostnamen uebersprungen.")
+            report.note("Switch ohne Hostnamen übersprungen.")
            continue
        ergebnis.append(
            {
@@ -240,7 +240,7 @@ def _devices(items: Any, credentials: list[dict[str, Any]], report: Report) -> l
    for entry in _liste(items):
        mac = str(entry.get("mac") or "").strip()
        if not mac:
-            report.note("Client ohne MAC-Adresse uebersprungen.")
+            report.note("Client ohne MAC-Adresse übersprungen.")
            continue
        zugang = entry.get("credential_name")
        kategorie = kategorie_je_zugang.get(str(zugang or ""), "")
@@ -266,7 +266,7 @@ def _devices(items: Any, credentials: list[dict[str, Any]], report: Report) -> l
    if abgeleitet:
        report.note(
            f"Kategorie von {abgeleitet} Client(s) aus den zugeordneten Zugangsdaten "
-            "abgeleitet -- der Vorgaenger kennt kein solches Feld. Bitte pruefen."
+            "abgeleitet – der Vorgänger kennt kein solches Feld. Bitte prüfen."
        )
    report.took("devices", len(ergebnis))
    return ergebnis
@@ -298,14 +298,14 @@ def _dhcp(data: Any, report: Report) -> tuple[dict[str, Any], dict[str, str]]:
    for entry in _liste(data.get("reservations")):
        mac = str(entry.get("mac") or "").strip()
        if not mac:
-            report.note("Manuelle Reservierung ohne MAC-Adresse uebersprungen.")
+            report.note("Manuelle Reservierung ohne MAC-Adresse übersprungen.")
            continue
        reservations.append(
            {
                "mac": mac,
                "ip": str(entry.get("ip") or ""),
                "hostname": str(entry.get("name") or ""),
-                "comment": "aus altem TESM uebernommen",
+                "comment": "aus altem TESM übernommen",
            }
        )

@@ -322,7 +322,7 @@ def _dhcp(data: Any, report: Report) -> tuple[dict[str, Any], dict[str, str]]:
            "is_standard": int(bool(definition.get("is_standard"))),
        }
        if not gemeinsam["code"] or not gemeinsam["name"]:
-            report.note("DHCP-Option ohne Code oder Namen uebersprungen.")
+            report.note("DHCP-Option ohne Code oder Namen übersprungen.")
            continue
        werte = _liste(definition.get("values"))
        if not werte:
@@ -339,7 +339,7 @@ def _dhcp(data: Any, report: Report) -> tuple[dict[str, Any], dict[str, str]]:
            )
    if ohne_wert:
        report.note(
-            f"{ohne_wert} eigene DHCP-Option(en) ohne Wert uebersprungen -- ohne Wert "
+            f"{ohne_wert} eigene DHCP-Option(en) ohne Wert übersprungen – ohne Wert "
            "gibt es nichts zu senden. Bei Bedarf von Hand anlegen."
        )

@@ -405,7 +405,7 @@ def convert(legacy: dict[str, Any]) -> tuple[dict[str, Any], Report]:
        report.note(
            "Diese Zugangsdaten sind zugeordnet, fehlen aber in der Datei und bleiben "
            f"deshalb leer: {', '.join(fehlend)}. Beim Export im alten TESM die "
-            "Kategorie 'Zugangsdaten' mitwaehlen."
+            "Kategorie 'Zugangsdaten' mitwählen."
        )

    for schluessel, grund in KNOWN_UNSUPPORTED.items():
@@ -413,12 +413,12 @@ def convert(legacy: dict[str, Any]) -> tuple[dict[str, Any], Report]:
            report.note(grund)
    unbekannt = sorted(set(legacy) - set(SUPPORTED) - set(KNOWN_UNSUPPORTED))
    if unbekannt:
-        report.note(f"Unbekannte Abschnitte uebersprungen: {', '.join(unbekannt)}.")
+        report.note(f"Unbekannte Abschnitte übersprungen: {', '.join(unbekannt)}.")

    if not payload:
        raise LegacyTransferError(
-            "Die Datei enthaelt keine Clients, Switche, Zugangsdaten oder DHCP-Daten. "
-            "Beim Export im alten TESM diese Kategorien mitwaehlen."
+            "Die Datei enthält keine Clients, Switche, Zugangsdaten oder DHCP-Daten. "
+            "Beim Export im alten TESM diese Kategorien mitwählen."
        )
    return payload, report

@@ -488,7 +488,7 @@ def _entschluessler(root: Path, report: Report) -> Any:
    schluesseldatei = root / LEGACY_FERNET_NAME
    if not schluesseldatei.is_file():
        report.note(
-            f"{LEGACY_FERNET_NAME} nicht gefunden -- die Passwoerter der Zugangsdaten "
+            f"{LEGACY_FERNET_NAME} nicht gefunden – die Passwörter der Zugangsdaten "
            "bleiben leer und sind nachzutragen."
        )
        return lambda _token: ""
@@ -499,7 +499,7 @@ def _entschluessler(root: Path, report: Report) -> Any:
        fernet = Fernet(schluesseldatei.read_bytes().strip())
    except (ValueError, TypeError):
        report.note(
-            f"{LEGACY_FERNET_NAME} ist unlesbar -- die Passwoerter der Zugangsdaten "
+            f"{LEGACY_FERNET_NAME} ist unlesbar – die Passwörter der Zugangsdaten "
            "bleiben leer und sind nachzutragen."
        )
        return lambda _token: ""
@@ -515,8 +515,8 @@ def _entschluessler(root: Path, report: Report) -> Any:
            gescheitert.append(1)
            if len(gescheitert) == 1:
                report.note(
-                    "Mindestens ein Passwort liess sich mit dem gefundenen Schluessel "
-                    "nicht entschluesseln -- es bleibt leer."
+                    "Mindestens ein Passwort ließ sich mit dem gefundenen Schlüssel "
+                    "nicht entschlüsseln – es bleibt leer."
                )
            return ""

@@ -643,7 +643,7 @@ def read_installation(root: Path) -> tuple[dict[str, Any], Report]:
    payload = {key: value for key, value in payload.items() if value}
    if not payload:
        raise LegacyTransferError(
-            f"In {root} stehen keine uebernehmbaren Daten (Clients, Switche, "
+            f"In {root} stehen keine übernehmbaren Daten (Clients, Switche, "
            "Zugangsdaten, DHCP)."
        )
    for abschnitt, inhalt in payload.items():
@@ -110,47 +110,47 @@ def is_noise(line: str) -> bool:
 HINTS: tuple[tuple[str, str], ...] = (
    (
        "incorrect password attempt",
-        "Das Passwort aus den Zugangsdaten wurde von 'sudo' abgewiesen. Fuer die "
-        "SSH-Anmeldung hat es gereicht -- 'sudo' auf diesem Geraet verlangt also ein "
+        "Das Passwort aus den Zugangsdaten wurde von 'sudo' abgewiesen. Für die "
+        "SSH-Anmeldung hat es gereicht – 'sudo' auf diesem Gerät verlangt also ein "
        "anderes Passwort, oder das Konto steht nicht in der sudoers-Datei.",
    ),
    (
        "is not in the sudoers file",
-        "Das Wartungskonto darf auf diesem Geraet kein 'sudo' ausfuehren. Auf dem "
-        "Zielgeraet eintragen, z. B. in /etc/sudoers.d/tesm-wartung: "
+        "Das Wartungskonto darf auf diesem Gerät kein 'sudo' ausführen. Auf dem "
+        "Zielgerät eintragen, z. B. in /etc/sudoers.d/tesm-wartung: "
        "'<benutzer> ALL=(root) /usr/bin/apt-get, /sbin/reboot'. Mit vorangestelltem "
-        "NOPASSWD: entfaellt die Passwortabfrage ganz.",
+        "NOPASSWD: entfällt die Passwortabfrage ganz.",
    ),
    (
        "a password is required",
-        "'sudo' verlangt ein Passwort, und in den Zugangsdaten dieses Geraets ist keines "
-        "hinterlegt. Tragen Sie dort das Passwort des Wartungskontos ein -- TESM reicht "
-        "es ueber die bereits verschluesselte SSH-Verbindung an 'sudo' weiter.",
+        "'sudo' verlangt ein Passwort, und in den Zugangsdaten dieses Geräts ist keines "
+        "hinterlegt. Tragen Sie dort das Passwort des Wartungskontos ein | TESM reicht "
+        "es über die bereits verschlüsselte SSH-Verbindung an 'sudo' weiter.",
    ),
    (
        "no tty present",
-        "Das Wartungskonto verlangt fuer 'sudo' ein Terminal. In der sudoers-Datei des "
-        "Zielgeraets 'Defaults requiretty' entfernen oder fuer dieses Konto abschalten.",
+        "Das Wartungskonto verlangt für 'sudo' ein Terminal. In der sudoers-Datei des "
+        "Zielgeräts 'Defaults requiretty' entfernen oder für dieses Konto abschalten.",
    ),
    (
        "command not found",
-        "Das Kommando gibt es auf dem Zielgeraet nicht. Die Wartung erwartet ein "
+        "Das Kommando gibt es auf dem Zielgerät nicht. Die Wartung erwartet ein "
        "Debian- oder Ubuntu-System mit apt-get.",
    ),
    (
        "Access is denied",
-        "Das Konto darf auf diesem Windows-Geraet keinen Neustart ausloesen. Es muss "
+        "Das Konto darf auf diesem Windows-Gerät keinen Neustart auslösen. Es muss "
        "Mitglied der lokalen Administratoren sein.",
    ),
    (
        "is not recognized as an internal or external command",
-        "Das Kommando gibt es auf diesem Geraet nicht. Ist bei den Zugangsdaten die "
-        "richtige Kategorie gewaehlt (Linux-Client bzw. Windows-Client)?",
+        "Das Kommando gibt es auf diesem Gerät nicht. Ist bei den Zugangsdaten die "
+        "richtige Kategorie gewählt (Linux-Client bzw. Windows-Client)?",
    ),
    (
        "Could not get lock",
-        "Ein anderer Paketvorgang laeuft bereits auf dem Zielgeraet (etwa "
-        "unattended-upgrades). Spaeter erneut versuchen.",
+        "Ein anderer Paketvorgang läuft bereits auf dem Zielgerät (etwa "
+        "unattended-upgrades). Später erneut versuchen.",
    ),
 )

@@ -256,8 +256,8 @@ def mark_orphaned_jobs(conn: sqlite3.Connection) -> int:
        "UPDATE jobs SET state='unknown', message=?, finished_at=?, updated_at=? "
        "WHERE state IN ('pending','running')",
        (
-            "Der Dienst wurde waehrend des Laufs neu gestartet. Was auf dem Zielgeraet "
-            "passiert ist, laesst sich von hier nicht mehr feststellen.",
+            "Der Dienst wurde während des Laufs neu gestartet. Was auf dem Zielgerät "
+            "passiert ist, lässt sich von hier nicht mehr feststellen.",
            _now(),
            _now(),
        ),
@@ -293,7 +293,7 @@ def _run_remote_command(
            channel.sendall(stdin_text.encode("utf-8"))
            channel.shutdown_write()
        except Exception as exc:  # noqa: BLE001
-            on_line(f"[Eingabe konnte nicht uebergeben werden: {exc}]")
+            on_line(f"[Eingabe konnte nicht übergeben werden: {exc}]")
    deadline = time.monotonic() + timeout
    pending = b""
    while True:
@@ -308,7 +308,7 @@ def _run_remote_command(
        elif channel.exit_status_ready():
            break
        elif time.monotonic() > deadline:
-            on_line("[Zeitlimit ueberschritten -- Verbindung wird getrennt]")
+            on_line("[Zeitlimit überschritten | Verbindung wird getrennt]")
            channel.close()
            return 124
        else:
@@ -341,14 +341,14 @@ def _sudo_mode(
    except Exception:  # noqa: BLE001 - dann eben der Weg mit Passwort
        status = 1
    if status == 0:
-        on_line("sudo ist ohne Passwort moeglich.")
+        on_line("sudo ist ohne Passwort möglich.")
        return SUDO_PASSWORDLESS, ""
    if not password:
        on_line(
            "sudo verlangt ein Passwort, in den Zugangsdaten ist keines hinterlegt."
        )
        return SUDO_PASSWORDLESS, ""
-    on_line("sudo verlangt ein Passwort -- es wird aus den Zugangsdaten uebergeben.")
+    on_line("sudo verlangt ein Passwort – es wird aus den Zugangsdaten übergeben.")
    return SUDO_WITH_PASSWORD, password + "\n"


@@ -411,7 +411,7 @@ def run_update(
            )
            if status != 0:
                failed = True
-                emit(f"Schritt {label!r} endete mit Rueckgabewert {status}.")
+                emit(f"Schritt {label!r} endete mit Rückgabewert {status}.")
                problem = hint_for("\n".join(collected))
                if problem:
                    emit("")
@@ -465,7 +465,7 @@ def _reboot_windows(
    Rueckkehr danach ist dasselbe -- und das steht beim Aufrufer.
    """
    host = str(device["ip"])
-    emit(f"Windows-Geraet -- Neustart ueber RPC an {host} (Port {WINDOWS_PROBE_PORT}).")
+    emit(f"Windows-Gerät | Neustart über RPC an {host} (Port {WINDOWS_PROBE_PORT}).")
    result = windowsops.reboot(host, username, password)

    for line in result.output.splitlines():
@@ -582,13 +582,13 @@ def run_reboot(
        sudo, sudo_stdin = _sudo_mode(transport, password, emit)
        command = REBOOT_COMMAND.format(sudo=sudo)
        try:
-            emit(f"Neustart wird ausgeloest ({command})")
+            emit(f"Neustart wird ausgelöst ({command})")
            try:
                _run_remote_command(
                    transport, command, timeout=20, on_line=capture, stdin_text=sudo_stdin
                )
            except Exception as exc:  # noqa: BLE001 - Abbruch ist hier normal
-                emit(f"Verbindung getrennt ({exc}) -- das ist beim Neustart zu erwarten.")
+                emit(f"Verbindung getrennt ({exc}) – das ist beim Neustart zu erwarten.")
        finally:
            try:
                transport.close()
@@ -621,7 +621,7 @@ def run_reboot(
            )
            return

-    update_job(database, job_id, progress=40, message="Warte auf Rueckkehr des Geraets")
+    update_job(database, job_id, progress=40, message="Warte auf Rückkehr des Geräts")
    time.sleep(REBOOT_GRACE_SECONDS)
    deadline = time.monotonic() + wait_seconds
    ssh_port = probe_port
@@ -632,7 +632,7 @@ def run_reboot(
        # Zeitueberschreitung, obwohl das Geraet zurueck war. Ausserdem ist
        # "SSH antwortet wieder" die Aussage, auf die es hier ankommt.
        if tcp_reachable(host, ssh_port):
-            emit(f"Geraet ist wieder erreichbar (Port {ssh_port} antwortet).")
+            emit(f"Gerät ist wieder erreichbar (Port {ssh_port} antwortet).")
            update_job(
                database,
                job_id,
@@ -656,7 +656,7 @@ def run_reboot(
                result="ok",
                actor=actor,
                duration_ms=elapsed(),
-                detail="Neustart ueber SSH, Geraet ist zurueckgekehrt.",
+                detail="Neustart über SSH, Gerät ist zurückgekehrt.",
                method=method,
            )
            return
@@ -668,7 +668,7 @@ def run_reboot(
        job_id,
        state="failed",
        progress=100,
-        message=f"Geraet nicht zurueckgekehrt ({host}:{ssh_port} antwortet nicht).",
+        message=f"Gerät nicht zurückgekehrt ({host}:{ssh_port} antwortet nicht).",
        finished=True,
    )
    _log_restart(
@@ -678,7 +678,7 @@ def run_reboot(
        actor=actor,
        duration_ms=elapsed(),
        detail=(
-            f"Neustart ausgeloest, aber {host}:{ssh_port} hat innerhalb von "
+            f"Neustart ausgelöst, aber {host}:{ssh_port} hat innerhalb von "
            f"{wait_seconds}s nicht wieder geantwortet."
        ),
        method=method,
@@ -718,7 +718,7 @@ def _log_restart(
                method=method,
            )
    except Exception:  # noqa: BLE001 - Protokollieren darf den Auftrag nie kippen
-        logger.exception("Neustart konnte nicht protokolliert werden (Geraet %s)", device_id)
+        logger.exception("Neustart konnte nicht protokolliert werden (Gerät %s)", device_id)


 def start_background(target: Callable[..., None], **kwargs: Any) -> None:
@@ -115,7 +115,7 @@ def ping(host: str, *, timeout: int = PING_TIMEOUT_SECONDS) -> PingResult:
            check=False,
        )
    except subprocess.TimeoutExpired:
-        return PingResult(False, detail="Zeitlimit ueberschritten")
+        return PingResult(False, detail="Zeitlimit überschritten")
    except OSError as exc:
        return PingResult(False, detail=str(exc))

@@ -274,8 +274,8 @@ METHOD_SSH = "ssh"
 METHOD_RPC = "rpc"
 METHOD_LABELS = {
    METHOD_POE: "PoE-Port",
-    METHOD_SSH: "Neustart ueber SSH",
-    METHOD_RPC: "Neustart ueber RPC",
+    METHOD_SSH: "Neustart über SSH",
+    METHOD_RPC: "Neustart über RPC",
 }

 #: Zustand zwischen ausgeloestem Neustart und Rueckkehr.
@@ -406,7 +406,7 @@ def restart_device_poe(

    if not port or not switch_ip:
        message = (
-            "Kein Switch oder kein Port zugeordnet -- ein PoE-Neustart ist nicht moeglich."
+            "Kein Switch oder kein Port zugeordnet – ein PoE-Neustart ist nicht möglich."
        )
        with write():
            record_restart(
@@ -422,7 +422,7 @@ def restart_device_poe(
        return {"ok": False, "message": message, "transcript": ""}

    if not credential_id:
-        message = f"Fuer Switch {device.get('switch_hostname') or switch_ip} sind keine Zugangsdaten hinterlegt."
+        message = f"Für Switch {device.get('switch_hostname') or switch_ip} sind keine Zugangsdaten hinterlegt."
        with write():
            record_restart(
                conn,
@@ -486,7 +486,7 @@ def restart_device_poe(
            live.error("poe", f"{name}: PoE-Neustart fehlgeschlagen -- {outcome.error}")
    return {
        "ok": outcome.ok,
-        "message": outcome.error or "PoE-Neustart durchgefuehrt.",
+        "message": outcome.error or "PoE-Neustart durchgeführt.",
        "transcript": outcome.transcript,
    }

@@ -567,7 +567,7 @@ def run_sweep(
            report.skipped_unlicensed += 1
            live.warning(
                "poe",
-                f"{name}: automatischer PoE-Neustart uebersprungen -- keine gueltige Lizenz.",
+                f"{name}: automatischer PoE-Neustart übersprungen – keine gültige Lizenz.",
            )
            continue
        report.restarts_triggered += 1
@@ -636,10 +636,12 @@ def next_check_at(conn: sqlite3.Connection, interval_seconds: int) -> datetime |
    return stamp + timedelta(seconds=max(1, int(interval_seconds)))


-def dashboard_counts(conn: sqlite3.Connection) -> dict[str, int]:
-    row = Database.one(
-        conn,
-        """
+#: Zaehlung fuer die Statusuebersicht. Steht als Konstante, weil das
+#: Anmeldebanner (``deploy/tesm-motd``) dieselben Zahlen zeigt und ohne
+#: Anwendung laeuft -- es kann diese Datei nicht importieren, also vergleicht
+#: ein Hygienetest die beiden Zeichenketten. Zwei Wahrheiten ueber "online"
+#: waeren schlimmer als eine doppelte Zeichenkette.
+DASHBOARD_COUNT_SQL = """
        SELECT
          COUNT(*) AS total,
          SUM(CASE WHEN d.is_active=0 THEN 1 ELSE 0 END) AS disabled,
@@ -649,8 +651,11 @@ def dashboard_counts(conn: sqlite3.Connection) -> dict[str, int]:
          SUM(CASE WHEN d.is_active=1 AND st.state='restarting' THEN 1 ELSE 0 END) AS restarting
        FROM devices d LEFT JOIN device_status st ON st.device_id = d.id
        WHERE d.deleted_at IS NULL
-        """,
-    )
+        """
+
+
+def dashboard_counts(conn: sqlite3.Connection) -> dict[str, int]:
+    row = Database.one(conn, DASHBOARD_COUNT_SQL)
    row = row or {}
    return {
        key: int(row.get(key) or 0)
@@ -22,7 +22,7 @@ etwa bei einem Geraet, das schreibend auf eine Platte zugreift.
 from __future__ import annotations

 from dataclasses import dataclass
-from typing import Any
+from typing import Any, Callable

 METHOD_POE = "poe"
 METHOD_SSH = "ssh"
@@ -40,6 +40,16 @@ class Method:
    #: Braucht dieser Weg das lizenzpflichtige Modul "Wartung"?
    licensed: bool = False

+    @property
+    def recht(self) -> str:
+        """Das Recht, das genau diesen Weg freigibt.
+
+        Am Weg und nicht in der Route: die Liste der Wege wird an vier Stellen
+        gebraucht (Dashboard, Geraeteliste, Detailseite, Route), und ein Recht,
+        das man an vier Stellen von Hand dazuschreibt, fehlt an der fuenften.
+        """
+        return f"device_restart_{self.key}.execute"
+
    @property
    def is_poe(self) -> bool:
        return self.key == METHOD_POE
@@ -54,36 +64,46 @@ DEFINITIONS: dict[str, Method] = {
    POWER_ON: Method(
        key=METHOD_POE,
        label="Einschalten (PoE)",
-        hint="Schaltet den Switch-Port aus und wieder ein. Bei einem Geraet, das nicht "
+        hint="Schaltet den Switch-Port aus und wieder ein. Bei einem Gerät, das nicht "
        "antwortet, ist das der einzige Weg, der noch etwas bewirkt.",
    ),
    METHOD_POE: Method(
        key=METHOD_POE,
        label="PoE-Port",
-        hint="Schaltet den Switch-Port kurz ab. Wirkt auch, wenn das Geraet haengt.",
+        hint="Schaltet den Switch-Port kurz ab. Wirkt auch, wenn das Gerät hängt.",
    ),
    METHOD_SSH: Method(
        key=METHOD_SSH,
-        label="Neustart ueber SSH",
-        hint="Faehrt das Betriebssystem sauber herunter. Setzt ein antwortendes Geraet "
-        "und einen freigegebenen Host-Schluessel voraus.",
+        label="Neustart über SSH",
+        hint="Fährt das Betriebssystem sauber herunter. Setzt ein antwortendes Gerät "
+        "und einen freigegebenen Host-Schlüssel voraus.",
        licensed=True,
    ),
    METHOD_RPC: Method(
        key=METHOD_RPC,
-        label="Neustart ueber RPC",
+        label="Neustart über RPC",
        hint="Windows: wie 'shutdown /m'. Setzt offene Datei- und Druckerfreigabe voraus.",
        licensed=True,
    ),
 }


-def available(device: Any, *, maintenance_active: bool = True) -> list[Method]:
+def available(
+    device: Any,
+    *,
+    maintenance_active: bool = True,
+    darf: Callable[[str], bool] | None = None,
+) -> list[Method]:
    """Alle Wege, die bei diesem Geraet tatsaechlich zu etwas fuehren.

    Ein Weg, der nur *fast* geht -- Switch zugeordnet, aber kein Port --, gilt
    als nicht verfuegbar. Ein Knopf, der verlaesslich nichts bewirkt, ist
    schlimmer als kein Knopf.
+
+    ``darf`` filtert zusaetzlich nach dem Recht des jeweiligen Weges (in der
+    Anwendung ``current_user.has``). Damit verschwindet der Knopf fuer den, der
+    ihn nicht druecken darf -- und zwar an allen Stellen zugleich, weil alle
+    dieselbe Liste benutzen. Ohne ``darf`` ist die Antwort rein technisch.
    """

    def field(name: str) -> Any:
@@ -102,7 +122,10 @@ def available(device: Any, *, maintenance_active: bool = True) -> list[Method]:
    # der PoE-Weg, und der heisst dort "Einschalten": er schaltet den Port
    # wieder ein, statt ein laufendes System neu zu starten.
    if str(field("state") or "") == "offline":
-        return [DEFINITIONS[POWER_ON]] if hat_poe else []
+        einschalten = [DEFINITIONS[POWER_ON]] if hat_poe else []
+        if darf is not None:
+            einschalten = [entry for entry in einschalten if darf(entry.recht)]
+        return einschalten

    category = str(field("credential_category") or "")
    has_login = bool(field("credential_id"))
@@ -112,23 +135,39 @@ def available(device: Any, *, maintenance_active: bool = True) -> list[Method]:
        elif category == "linux":
            methods.append(DEFINITIONS[METHOD_SSH])

+    if darf is not None:
+        methods = [entry for entry in methods if darf(entry.recht)]
    return sorted(methods, key=lambda entry: PREFERENCE.index(entry.key))


-def preferred(device: Any, *, maintenance_active: bool = True) -> Method | None:
+def preferred(
+    device: Any,
+    *,
+    maintenance_active: bool = True,
+    darf: Callable[[str], bool] | None = None,
+) -> Method | None:
    """Der Weg, der vorausgewaehlt wird -- oder ``None``, wenn es keinen gibt."""
-    options = available(device, maintenance_active=maintenance_active)
+    options = available(device, maintenance_active=maintenance_active, darf=darf)
    return options[0] if options else None


-def resolve(device: Any, requested: str, *, maintenance_active: bool = True) -> Method | None:
+def resolve(
+    device: Any,
+    requested: str,
+    *,
+    maintenance_active: bool = True,
+    darf: Callable[[str], bool] | None = None,
+) -> Method | None:
    """Prueft eine Anforderung gegen das, was tatsaechlich moeglich ist.

    Die Oberflaeche darf vorschlagen; entscheiden tut der Server. Ein Weg, der
    fuer dieses Geraet nicht offensteht, wird nicht "irgendwie" ersetzt --
    sonst startet jemand ein Geraet anders neu, als er dachte.
    """
-    options = {entry.key: entry for entry in available(device, maintenance_active=maintenance_active)}
+    options = {
+        entry.key: entry
+        for entry in available(device, maintenance_active=maintenance_active, darf=darf)
+    }
    if not options:
        return None
    if not requested:
@@ -128,7 +128,7 @@ class ShellSession:
                elif time.monotonic() > deadline:
                    channel.close()
                    raise SshError(
-                        f"Das Kommando hat das Zeitlimit von {timeout}s ueberschritten."
+                        f"Das Kommando hat das Zeitlimit von {timeout}s überschritten."
                    )
                else:
                    time.sleep(0.05)
@@ -48,8 +48,8 @@ class UnknownHostKey(SshError):

    def __init__(self, host: str, port: int, key_type: str, fingerprint: str) -> None:
        super().__init__(
-            f"Der SSH-Host-Schluessel von {host}:{port} ist unbekannt "
-            f"({key_type}, {fingerprint}). Bitte pruefen und ausdruecklich freigeben."
+            f"Der SSH-Host-Schlüssel von {host}:{port} ist unbekannt "
+            f"({key_type}, {fingerprint}). Bitte prüfen und ausdrücklich freigeben."
        )
        self.host = host
        self.port = port
@@ -62,9 +62,9 @@ class HostKeyChanged(SshError):

    def __init__(self, host: str, port: int, expected: str, received: str) -> None:
        super().__init__(
-            f"Der SSH-Host-Schluessel von {host}:{port} hat sich geaendert "
+            f"Der SSH-Host-Schlüssel von {host}:{port} hat sich geändert "
            f"(erwartet {expected}, erhalten {received}). Der Aufbau wurde abgebrochen. "
-            "Das kann ein Geraetetausch sein -- oder ein Angriff."
+            "Das kann ein Gerätetausch sein – oder ein Angriff."
        )
        self.host = host
        self.port = port
@@ -187,17 +187,17 @@ def describe_probe(
    if known is None:
        return (
            "info",
-            f"Host-Schluessel gelesen: {record.key_type} {record.fingerprint}. "
-            "Bitte gegen eine unabhaengige Quelle pruefen und dann freigeben.",
+            f"Host-Schlüssel gelesen: {record.key_type} {record.fingerprint}. "
+            "Bitte gegen eine unabhängige Quelle prüfen und dann freigeben.",
        )
    if known.fingerprint != record.fingerprint:
        return (
            "danger",
-            f"Achtung: der Schluessel weicht vom gespeicherten ab. Gespeichert "
+            f"Achtung: der Schlüssel weicht vom gespeicherten ab. Gespeichert "
            f"{known.fingerprint}, gelesen {record.fingerprint}. Das kann ein "
-            "Geraetetausch sein -- oder ein Angriff.",
+            "Gerätetausch sein – oder ein Angriff.",
        )
-    return ("success", "Der Host-Schluessel stimmt mit dem gespeicherten ueberein.")
+    return ("success", "Der Host-Schlüssel stimmt mit dem gespeicherten überein.")


 def probe_host_key(host: str, port: int = 22, *, timeout: int = CONNECT_TIMEOUT) -> HostKeyRecord:
@@ -281,8 +281,8 @@ def open_transport(
            raise SshError(
                f"SSH-Handshake mit {host}:{port} fehlgeschlagen ({exc}). "
                f"Freigegeben sind nur {', '.join(sorted(set(trusted_types)))} -- "
-                "bietet das Geraet inzwischen einen anderen Schluesseltyp an, muss der "
-                "Schluessel neu ausgelesen und freigegeben werden."
+                "bietet das Gerät inzwischen einen anderen Schlüsseltyp an, muss der "
+                "Schlüssel neu ausgelesen und freigegeben werden."
            ) from exc
        raise SshError(f"SSH-Handshake mit {host}:{port} fehlgeschlagen ({exc}).") from exc

@@ -149,7 +149,7 @@ class SwitchCli:
        ``tolerate_error`` (z. B. ``no page``, das nicht jede Firmware kennt).
        """
        if self._channel is None:
-            raise SshError("Die Sitzung ist nicht geoeffnet.")
+            raise SshError("Die Sitzung ist nicht geöffnet.")
        self.transcript.append(f"\n$ {command}\n")
        self._channel.send(command + "\r\n")
        output = self._read_until_prompt(timeout=timeout)
@@ -207,7 +207,7 @@ class SwitchCli:
            off_state = self.poe_state(port)
            if off_state == "enabled":
                result.error = (
-                    "Der Switch meldet den Port nach dem Abschalten weiter als aktiv -- "
+                    "Der Switch meldet den Port nach dem Abschalten weiter als aktiv – "
                    "der Neustart hat nicht stattgefunden."
                )
                result.transcript = self.full_transcript
@@ -245,11 +245,11 @@ class SwitchCli:
 #: Kommandos, die die Oberflaeche ohne freies Eingabefeld anbietet.
 SAFE_COMMANDS: tuple[tuple[str, str], ...] = (
    ("show system information", "Systeminformationen"),
-    ("show power-over-ethernet brief", "PoE-Uebersicht aller Ports"),
+    ("show power-over-ethernet brief", "PoE-Übersicht aller Ports"),
    ("show interfaces brief", "Portstatus"),
    ("show vlans", "VLAN-Uebersicht"),
    ("show mac-address", "MAC-Adresstabelle"),
-    ("show lldp info remote-device", "Nachbargeraete (LLDP)"),
+    ("show lldp info remote-device", "Nachbargeräte (LLDP)"),
    ("show version", "Firmware-Version"),
    ("show logging", "Switch-Protokoll"),
 )
@@ -14,6 +14,7 @@ from typing import Any, Callable, Iterable

 from tesm_core.db import Database
 from tesm_core.keystore import Keystore
+from tesm_core.rbac.legacy_permissions import umgeschrieben
 from tesm_core.transfer import (
    MIN_PASSPHRASE_LENGTH,
    PREVIEW_TTL_MINUTES,
@@ -50,13 +51,13 @@ def unseal(raw: bytes | str, passphrase: str) -> tuple[dict[str, Any], dict[str,


 CATEGORIES: tuple[Category, ...] = (
-    Category("devices", "Clients", "Geraetestammdaten inklusive Switch- und Portzuordnung"),
+    Category("devices", "Clients", "Gerätestammdaten inklusive Switch- und Portzuordnung"),
    Category("switches", "Switche", "Switch-Inventar"),
    Category(
        "credentials",
        "Zugangsdaten",
-        "SSH-Logins. Die Passwoerter liegen im Export im Klartext -- geschuetzt "
-        "ausschliesslich durch die Passphrase.",
+        "SSH-Logins. Die Passwörter liegen im Export im Klartext – geschützt "
+        "ausschließlich durch die Passphrase.",
        sensitive=True,
    ),
    Category("dhcp", "DHCP-Konfiguration", "Subnetze, Optionen und manuelle Reservierungen"),
@@ -64,6 +65,13 @@ CATEGORIES: tuple[Category, ...] = (
    Category("users", "Benutzer", "Lokale Konten mit Passwort-Hash", admin_only=True),
    Category("groups", "Gruppen und Rechte", "Rechtematrix", admin_only=True),
    Category("settings", "Einstellungen", "Laufzeiteinstellungen der Anwendung", admin_only=True),
+    Category(
+        "signatures",
+        "Unterschriften",
+        "Pruefsummen unterschriebener Dokumente. Ohne sie sagt die Vorschau nach einer "
+        "Wiederherstellung zu jeder alten Fassung \"unbekannt\" – auch zu einer "
+        "veraenderten.",
+    ),
 )

 CATEGORY_BY_KEY = {category.key: category for category in CATEGORIES}
@@ -123,7 +131,7 @@ def build_export(
                        str(row["secret_encrypted"]), aad=aad_for_credential(int(row["id"]))
                    )
                except Exception:  # noqa: BLE001
-                    entry["secret_error"] = "nicht entschluesselbar"
+                    entry["secret_error"] = "nicht entschlüsselbar"
            entries.append(entry)
        payload["credentials"] = entries
    if "dhcp" in wanted:
@@ -186,6 +194,16 @@ def build_export(
            # Sicherung -- sonst wuerde ein Restore eine fremde Aktivierung erben.
            if not str(row["key"]).startswith("license_")
        }
+    if "signatures" in wanted:
+        # Das Verzeichnis der Unterschriften. Der Beleg selbst bleibt das
+        # Aenderungsprotokoll (Hash-Kette) und das Journal neben dem Archiv --
+        # beides wandert nicht in die Sicherung. Ohne diese Zeilen waere nach
+        # einer Wiederherstellung jede unterschriebene Fassung "unbekannt".
+        payload["signatures"] = Database.all(
+            conn,
+            "SELECT sha256, share_label, path, signed_at, actor, names "
+            "FROM document_signatures ORDER BY id",
+        )
    return payload


@@ -237,6 +255,9 @@ def apply_import(
    """
    from .inventory import ValidationError, aad_for_credential, normalize_mac

+    #: Merkt, ob das Paket alte Rechteschluessel mitbringt (siehe unten).
+    alte_fassung: set[bool] = set()
+
    def mac_or_none(value: Any) -> str | None:
        """MAC normalisieren, ohne den ganzen Import zu sprengen.

@@ -557,9 +578,21 @@ def apply_import(
                group_id = int(existing["id"])
                bump("groups", "updated")
            conn.execute("DELETE FROM group_permissions WHERE group_id=?", (group_id,))
+            # Eine Sicherung aus 2.7.x nennt devices.view und devices.edit.
+            # Ohne die Umschreibung landen lauter unbekannte Schluessel in der
+            # Gruppe, und sanitize() wirft Unbekanntes still weg: die
+            # wiederhergestellte Gruppe waere leer, ohne eine Zeile Meldung.
+            mitgebracht = [str(recht) for recht in entry.get("permissions", []) or []]
+            neue = umgeschrieben(mitgebracht)
+            if sorted(set(mitgebracht)) != neue:
+                # Das Paket kennt die alten Schluessel -- es stammt also von
+                # vor 2.8.0. Ein Versionsfeld gibt es im Umschlag nicht, aber
+                # die Schluessel selbst sind das verlaesslichere Kennzeichen:
+                # sie stehen genau dann drin, wenn die Sicherung aelter ist.
+                alte_fassung.add(True)
            conn.executemany(
                "INSERT OR IGNORE INTO group_permissions (group_id, permission) VALUES (?,?)",
-                [(group_id, str(permission)) for permission in entry.get("permissions", [])],
+                [(group_id, permission) for permission in neue],
            )

    if "users" in wanted:
@@ -625,6 +658,38 @@ def apply_import(
                            (user_id, int(group_id)),
                        )

+    if "signatures" in wanted:
+        for eintrag in payload.get("signatures") or []:
+            if not isinstance(eintrag, dict):
+                continue
+            summe = str(eintrag.get("sha256") or "").strip()
+            pfad = str(eintrag.get("path") or "").strip()
+            if not summe:
+                continue
+            # Zweimal einlesen darf nichts verdoppeln: verglichen wird ueber
+            # Pruefsumme und Ablageort, genau wie beim Journal.
+            vorhanden = Database.value(
+                conn,
+                "SELECT 1 FROM document_signatures WHERE sha256=? AND path=? LIMIT 1",
+                (summe, pfad),
+            )
+            if vorhanden:
+                bump("signatures", "skipped")
+                continue
+            conn.execute(
+                "INSERT INTO document_signatures (sha256, share_label, path, signed_at, "
+                "actor, names, audit_id) VALUES (?,?,?,?,?,?,NULL)",
+                (
+                    summe,
+                    str(eintrag.get("share_label") or ""),
+                    pfad,
+                    str(eintrag.get("signed_at") or stamp),
+                    str(eintrag.get("actor") or ""),
+                    str(eintrag.get("names") or ""),
+                ),
+            )
+            bump("signatures", "created")
+
    if "settings" in wanted:
        for key, value in (payload.get("settings") or {}).items():
            if str(key).startswith("license_"):
@@ -634,4 +699,17 @@ def apply_import(
            set_setting(str(key), value)
            bump("settings", "updated")

+    if alte_fassung and "users" in wanted:
+        # Dieselbe Ueberlegung wie in der Migration: in der Welt, aus der
+        # diese Sicherung kommt, konnte ein Administrator alles. Ohne die
+        # Gruppe fehlt ihm nach dem Einlesen die halbe Anwendung -- und er
+        # haelt das fuer einen Fehler der Wiederherstellung.
+        from tesm_core.rbac import service as rbac
+
+        from ..permissions import FUNKTIONEN_VOLLZUGRIFF, PERMISSIONS
+
+        rbac.funktionsgruppe_fuer_administratoren(
+            conn, PERMISSIONS, FUNKTIONEN_VOLLZUGRIFF
+        )
+
    return report
@@ -51,28 +51,28 @@ def available() -> bool:
 HINTS: tuple[tuple[str, str], ...] = (
    (
        "NT_STATUS_LOGON_FAILURE",
-        "Benutzername oder Passwort wurden vom Windows-Geraet abgewiesen. Bei einem "
-        "Domaenenkonto die Form DOMAENE\\benutzer verwenden -- mit *einem* "
+        "Benutzername oder Passwort wurden vom Windows-Gerät abgewiesen. Bei einem "
+        "Domänenkonto die Form DOMAENE\\benutzer verwenden – mit *einem* "
        "Backslash.",
    ),
    (
        "NT_STATUS_ACCESS_DENIED",
-        "Das Konto darf auf diesem Geraet keinen Neustart ausloesen. Es braucht das Recht "
-        "'Herunterfahren von einem Remotesystem aus' -- Mitglied der lokalen "
-        "Administratoren genuegt dafuer in der Regel.",
+        "Das Konto darf auf diesem Gerät keinen Neustart auslösen. Es braucht das Recht "
+        "'Herunterfahren von einem Remotesystem aus' | Mitglied der lokalen "
+        "Administratoren genügt dafür in der Regel.",
    ),
    (
        "NT_STATUS_CONNECTION_REFUSED",
-        "Das Geraet nimmt keine RPC-Verbindung an. Die Datei- und Druckerfreigabe muss "
+        "Das Gerät nimmt keine RPC-Verbindung an. Die Datei- und Druckerfreigabe muss "
        "aktiv und Port 445 in der Windows-Firewall freigegeben sein.",
    ),
    (
        "NT_STATUS_IO_TIMEOUT",
-        "Keine Antwort auf Port 445. Ist das Geraet erreichbar und die Firewall offen?",
+        "Keine Antwort auf Port 445. Ist das Gerät erreichbar und die Firewall offen?",
    ),
    (
        "NT_STATUS_HOST_UNREACHABLE",
-        "Das Geraet ist nicht erreichbar.",
+        "Das Gerät ist nicht erreichbar.",
    ),
    # Diese Meldung liest sich wie ein technisches Detail, hat aber fast immer
    # eine einzige Ursache: das Konto ist auf dem Zielgeraet kein Administrator.
@@ -81,14 +81,14 @@ HINTS: tuple[tuple[str, str], ...] = (
    # bekommt ein Standardkonto die winreg-Pipe gar nicht zu sehen.
    (
        "pipe winreg",
-        "Das Konto hat auf diesem Geraet keine Administratorrechte. Ein Neustart ueber "
-        "RPC braucht sie: die Pipe, ueber die er laeuft, ist fuer Standardkonten nicht "
-        "sichtbar. Ein Konto der lokalen Administratoren hinterlegen -- pruefen laesst "
+        "Das Konto hat auf diesem Gerät keine Administratorrechte. Ein Neustart über "
+        "RPC braucht sie: die Pipe, über die er läuft, ist für Standardkonten nicht "
+        "sichtbar. Ein Konto der lokalen Administratoren hinterlegen – prüfen lässt "
        "sich das mit 'net rpc service status RemoteRegistry'.",
    ),
    (
        "NT_STATUS_OBJECT_NAME_NOT_FOUND",
-        "Der benoetigte RPC-Dienst antwortet auf dem Geraet nicht. Meist fehlen dem "
+        "Der benötigte RPC-Dienst antwortet auf dem Gerät nicht. Meist fehlen dem "
        "Konto die Administratorrechte; sonst ist der Dienst 'Remoteregistrierung' "
        "gestoppt.",
    ),
@@ -143,8 +143,8 @@ def _net_with_credentials(
        return RemoteResult(
            False,
            "",
-            f"Auf diesem Server fehlt das Paket {REQUIRED_PACKAGE}. Ohne 'net' laesst sich "
-            "ein Windows-Geraet von hier nicht ansprechen.",
+            f"Auf diesem Server fehlt das Paket {REQUIRED_PACKAGE}. Ohne 'net' lässt sich "
+            "ein Windows-Gerät von hier nicht ansprechen.",
        )
    if not username:
        return RemoteResult(False, "", "Es sind keine Zugangsdaten hinterlegt.")
@@ -176,7 +176,7 @@ def _net_with_credentials(
                check=False,
            )
        except subprocess.TimeoutExpired:
-            return RemoteResult(False, "", f"Zeitlimit von {timeout}s ueberschritten.")
+            return RemoteResult(False, "", f"Zeitlimit von {timeout}s überschritten.")
        except OSError as exc:
            return RemoteResult(False, "", str(exc))
        return completed.returncode, (completed.stdout + completed.stderr).strip()
@@ -190,7 +190,7 @@ def _net_with_credentials(
                stream.flush()
                os.fsync(stream.fileno())
        except OSError:  # pragma: no cover - defensiv
-            logger.warning("Anmeldedatei konnte nicht ueberschrieben werden: %s", path)
+            logger.warning("Anmeldedatei konnte nicht überschrieben werden: %s", path)
        try:
            os.unlink(path)
        except OSError:  # pragma: no cover - defensiv
@@ -236,10 +236,10 @@ def check(
        return RemoteResult(
            False,
            output,
-            "Anmeldung erfolgreich, aber das Konto hat auf diesem Geraet keine "
-            "Administratorrechte. Fuer einen Neustart ueber RPC braucht es sie.",
+            "Anmeldung erfolgreich, aber das Konto hat auf diesem Gerät keine "
+            "Administratorrechte. Für einen Neustart über RPC braucht es sie.",
        )
-    return RemoteResult(False, output, hint_for(output) or "Pruefung fehlgeschlagen.")
+    return RemoteResult(False, output, hint_for(output) or "Prüfung fehlgeschlagen.")


 def reboot(
@@ -275,5 +275,5 @@ def reboot(
        return ergebnis
    code, output = ergebnis
    if code == 0:
-        return RemoteResult(True, output or "Neustart ausgeloest.")
+        return RemoteResult(True, output or "Neustart ausgelöst.")
    return RemoteResult(False, output, hint_for(output))
@@ -12,8 +12,8 @@ TESM_SETTINGS: tuple[SettingSpec, ...] = (
        "monitor_interval_seconds",
        300,
        "int",
-        "Pruefintervall (Sekunden)",
-        hint="Abstand zwischen zwei Erreichbarkeitspruefungen. Lizenzpflichtig.",
+        "Prüfintervall (Sekunden)",
+        hint="Abstand zwischen zwei Erreichbarkeitsprüfungen. Lizenzpflichtig.",
        section="monitoring",
        minimum=30,
        maximum=86400,
@@ -23,8 +23,8 @@ TESM_SETTINGS: tuple[SettingSpec, ...] = (
        2,
        "int",
        "Fehlversuche bis zum automatischen PoE-Neustart",
-        hint="Erst nach so vielen aufeinanderfolgenden Fehlschlaegen wird geschaltet. "
-        "Der Vorgaenger schaltete sofort beim ersten Ausfall.",
+        hint="Erst nach so vielen aufeinanderfolgenden Fehlschlägen wird geschaltet. "
+        "Der Vorgänger schaltete sofort beim ersten Ausfall.",
        section="monitoring",
        minimum=1,
        maximum=10,
@@ -40,8 +40,8 @@ TESM_SETTINGS: tuple[SettingSpec, ...] = (
        "dashboard_public",
        True,
        "bool",
-        "Statusuebersicht ohne Anmeldung erreichbar",
-        hint="Zeigt ausschliesslich Name und Erreichbarkeit aktiver Geraete -- keine "
+        "Statusübersicht ohne Anmeldung erreichbar",
+        hint="Zeigt ausschließlich Name und Erreichbarkeit aktiver Geräte – keine "
        "IP-Adressen, keine Switch-Zuordnung, keine Verwaltungsfunktionen.",
        section="monitoring",
    ),
@@ -74,20 +74,11 @@ TESM_SETTINGS: tuple[SettingSpec, ...] = (
        "fileshare_max_age_hours",
        12,
        "int",
-        "Einbindungen automatisch loesen nach (Stunden)",
+        "Einbindungen automatisch lösen nach (Stunden)",
        section="fileshare",
        minimum=1,
        maximum=168,
    ),
-    SettingSpec(
-        "fileshare_upload_max_mb",
-        512,
-        "int",
-        "Maximale Dateigroesse beim Hochladen (MB)",
-        section="fileshare",
-        minimum=1,
-        maximum=8192,
-    ),
    # -- Wartung ------------------------------------------------------------ #
    SettingSpec(
        "maintenance_command_timeout",
@@ -102,26 +93,50 @@ TESM_SETTINGS: tuple[SettingSpec, ...] = (
        "maintenance_reboot_wait",
        300,
        "int",
-        "Wartezeit auf die Rueckkehr nach einem Neustart (Sekunden)",
+        "Wartezeit auf die Rückkehr nach einem Neustart (Sekunden)",
        section="maintenance",
        minimum=30,
        maximum=1800,
    ),
-    # -- Terminal ----------------------------------------------------------- #
+    # -- Unterschriften ------------------------------------------------------ #
    SettingSpec(
-        "terminal_enabled",
+        "signature_witness_enabled",
        True,
        "bool",
-        "Browser-Terminal fuer Switche aktiv",
-        hint="Auch wenn aktiv: erfordert das Recht 'Ausfuehren' auf Switche, eine frische "
-        "Passwortbestaetigung und wird vollstaendig protokolliert.",
+        "Unterschriften mit dem ablegenden Konto bezeugen",
+        hint="Eine Zeile unter der **ersten** Unterschrift nennt das Konto, das das "
+        "Dokument in TESM abgelegt hat. In den Dokumenteigenschaften und im "
+        "Änderungsprotokoll steht es ohnehin, unabhängig von diesem Schalter. Der Name in "
+        "der Unterschrift ist eine Angabe des Unterschreibenden – wie auf Papier; das "
+        "Konto ist belegt. Eine Passwortabfrage gibt es dafür nicht.",
+        section="fileshare",
+    ),
+    # -- Terminal ----------------------------------------------------------- #
+    SettingSpec(
+        "terminal_switches_enabled",
+        True,
+        "bool",
+        "Browser-Konsole für Switche zulassen",
+        hint="Auch wenn aktiv: erfordert das Recht 'Ausführen' auf Switche, eine frische "
+        "Passwortbestätigung und wird vollständig protokolliert. Das Freigeben von "
+        "Host-Schlüsseln bleibt davon unberührt – es wird für den PoE-Neustart "
+        "gebraucht.",
+        section="monitoring",
+    ),
+    SettingSpec(
+        "terminal_clients_enabled",
+        True,
+        "bool",
+        "Browser-Konsole für Clients zulassen",
+        hint="Braucht zusätzlich das Modul Wartung und das Recht 'Ausführen' auf Wartung. "
+        "Das Freigeben von Host-Schlüsseln bleibt davon unberührt.",
        section="monitoring",
    ),
    SettingSpec(
        "terminal_idle_timeout",
        300,
        "int",
-        "Terminal bei Untaetigkeit trennen nach (Sekunden)",
+        "Terminal bei Untätigkeit trennen nach (Sekunden)",
        section="monitoring",
        minimum=60,
        maximum=3600,
@@ -84,7 +84,7 @@
                    <a class="btn btn--sm btn--ghost" href="{{ url_for('devices.detail', device_id=tile.id) }}">
                      Details
                    </a>
-                    {% if current_user.has('devices.execute') and tile.restart_methods %}
+                    {% if tile.restart_methods %}
                      {% set method = tile.restart_methods[0] %}
                      <form method="post" data-no-guard
                            action="{{ url_for('devices.restart_device', device_id=tile.id) }}">
@@ -99,7 +99,7 @@
                        </button>
                      </form>
                    {% endif %}
-                    {% if current_user.has('devices.edit') and tile.state == 'disabled' %}
+                    {% if current_user.has('devices.write') and tile.state == 'disabled' %}
                      <form method="post" action="{{ url_for('devices.toggle_active', device_id=tile.id) }}"
                            data-no-guard>
                        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -149,10 +149,10 @@ sie getrennt von der Sicherung auf.', 'warning', 'Passphrase') }}
      </div>
      <div class="card__body">
        <ul class="stack stack--tight fs-sm muted">
-          <li>Verzeichniskonten werden nie exportiert -- sie entstehen am Ziel bei der ersten Anmeldung neu.</li>
+          <li>Verzeichniskonten werden nie exportiert – sie entstehen am Ziel bei der ersten Anmeldung neu.</li>
          <li>Lizenz- und Aktivierungszustand bleiben ausgenommen: sie gehören zur Maschine, nicht zur Sicherung.</li>
          <li>Sitzungen, Ratenbegrenzung und das Änderungsprotokoll sind nicht Teil der Sicherung.</li>
-          <li>Der Zwischenstand des Imports liegt in der Datenbank -- ein Dienst-Neustall verliert ihn nicht.</li>
+          <li>Der Zwischenstand des Imports liegt in der Datenbank – ein Dienst-Neustall verliert ihn nicht.</li>
        </ul>
      </div>
    </section>
@@ -79,7 +79,7 @@ davon abhängt, welche Geräte auf der Wartungsseite erscheinen.', 'info') }}
                          data-confirm-style="primary">{{ icon('eye', size=15) }}</button>
                </form>
              {% endif %}
-              {% if current_user.has('credentials.edit') %}
+              {% if current_user.has('credentials.write') %}
                <button class="btn btn--sm btn--ghost" type="button"
                        data-dialog-open="credential-edit-{{ entry.id }}" aria-label="Bearbeiten">
                  {{ icon('pencil', size=15) }}
@@ -121,7 +121,7 @@ davon abhängt, welche Geräte auf der Wartungsseite erscheinen.', 'info') }}
    </form>
  {% endcall %}
 {% endif %}
-{% if current_user.has('credentials.edit') %}
+{% if current_user.has('credentials.write') %}
  {% for entry in credentials %}
    {% call modal('credential-edit-' ~ entry.id, entry.name) %}
      <form method="post" action="{{ url_for('credentials.update', credential_id=entry.id) }}">
@@ -11,12 +11,12 @@
 {% endblock %}

 {% block topbar_extra %}
-  {% if terminal_enabled and current_user.has('maintenance.execute') and device.credential_id %}
+  {% if terminal_enabled and current_user.has('device_console.execute') and device.credential_id %}
    <a class="btn btn--sm" href="{{ url_for('terminal.device_console', device_id=device.id) }}">
      {{ icon('terminal', size=15) }} Konsole
    </a>
  {% endif %}
-  {% if current_user.has('devices.execute') and restart_methods %}
+  {% if restart_methods %}
    {% for method in restart_methods %}
      <form method="post" style="display:inline"
            action="{{ url_for('devices.restart_device', device_id=device.id) }}" data-no-guard>
@@ -88,7 +88,7 @@
        <div class="flex-1">
          <div class="card__title">{{ icon('power', size=17) }} Neustarts</div>
          <div class="card__sub">
-            Die letzten {{ events | length }} Neustarts -- über den PoE-Port wie per SSH
+            Die letzten {{ events | length }} Neustarts – über den PoE-Port wie per SSH
          </div>
        </div>
      </div>
@@ -138,7 +138,7 @@
            Ohne freigegebenen Schlüssel verweigern Wartung und Konsole die Verbindung.
          </div>
        </div>
-        {% if current_user.has('devices.edit') %}
+        {% if current_user.has('devices.write') %}
          <form method="post" action="{{ url_for('devices.probe_host_key', device_id=device.id) }}"
                data-no-guard>
            <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -151,7 +151,7 @@
      <div class="card__body stack">
        {% set probed_type = request.args.get('probed_type') %}
        {% set probed_fingerprint = request.args.get('probed_fingerprint') %}
-        {% if probed_type and probed_fingerprint and current_user.has('devices.edit') %}
+        {% if probed_type and probed_fingerprint and current_user.has('devices.write') %}
          <div class="alert alert--warning">
            {{ icon('alert', size=18) }}
            <div class="alert__body">
@@ -182,7 +182,7 @@
              <dd class="mono fs-xs break-all">{{ key.fingerprint }}</dd>
            {% endfor %}
          </dl>
-          {% if current_user.has('devices.edit') %}
+          {% if current_user.has('devices.write') %}
            <form method="post"
                  action="{{ url_for('devices.forget_host_key', device_id=device.id) }}"
                  data-no-guard>
@@ -206,7 +206,7 @@
  <section class="card">
    <div class="card__header">
      <div class="flex-1"><div class="card__title">{{ icon('info', size=17) }} Stammdaten</div></div>
-      {% if current_user.has('devices.edit') %}
+      {% if current_user.has('devices.write') %}
        <a class="btn btn--sm" href="{{ url_for('devices.overview') }}">Bearbeiten</a>
      {% endif %}
    </div>
@@ -232,7 +232,7 @@
      </dl>
      {% if device.notes %}<p class="fs-sm muted mt-3">{{ device.notes }}</p>{% endif %}
    </div>
-    {% if current_user.has('devices.edit') %}
+    {% if current_user.has('devices.write') %}
      <div class="card__footer">
        <form method="post" action="{{ url_for('devices.toggle_active', device_id=device.id) }}" data-no-guard>
          <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -213,10 +213,10 @@
              {% endif %}
            </td>
            <td class="actions">
-              {% if current_user.has('devices.execute') %}
+              {% if restart_methods.get(device.id) %}
                {{ restart_control(device, restart_methods.get(device.id, []), compact=True) }}
              {% endif %}
-              {% if current_user.has('devices.edit') %}
+              {% if current_user.has('devices.write') %}
                <button class="btn btn--sm btn--ghost" type="button"
                        data-dialog-open="device-edit-{{ device.id }}" aria-label="Bearbeiten">
                  {{ icon('pencil', size=15) }}
@@ -263,7 +263,7 @@ nicht -- damit kein Neustart vorgetäuscht wird, der nichts bewirkt.', 'info') }
  {% endcall %}
 {% endif %}

-{% if current_user.has('devices.edit') %}
+{% if current_user.has('devices.write') %}
  {% for device in devices %}
    {% call modal('device-edit-' ~ device.id, device.name, device.mac, 'wide') %}
      <form method="post" action="{{ url_for('devices.update', device_id=device.id) }}">
@@ -27,7 +27,7 @@
  <div class="stat">
    <span class="stat__label">Reservierungen</span>
    <span class="stat__value">{{ reservations | length }}</span>
-    <span class="stat__hint">automatisch + manüll</span>
+    <span class="stat__hint">automatisch + manuell</span>
  </div>
  <div class="stat">
    <span class="stat__label">Leases</span>
@@ -39,7 +39,7 @@
  </div>
 </div>

-{% if current_user.has('dhcp.execute') %}
+{% if current_user.has('dhcp_service.execute') %}
  <section class="card">
    <div class="card__header">
      <div class="flex-1">
@@ -72,7 +72,7 @@
    <div class="flex-1">
      <div class="card__title">{{ icon('network', size=17) }} Subnetze</div>
      <div class="card__sub">
-        Subnetz und Maske kommen vom laufenden System -- eingegeben wird nur der Adressbereich.
+        Subnetz und Maske kommen vom laufenden System – eingegeben wird nur der Adressbereich.
      </div>
    </div>
  </div>
@@ -89,7 +89,7 @@
              <td class="mono fs-sm">{{ subnet.dns or '&ndash;' | safe }}</td>
              <td>{% if subnet.enabled %}{{ pill('aktiv', 'online') }}{% else %}{{ pill('pausiert', '') }}{% endif %}</td>
              <td class="actions">
-                {% if current_user.has('dhcp.edit') %}
+                {% if current_user.has('dhcp_subnets.write') %}
                  <form method="post" action="{{ url_for('dhcp.delete_subnet', subnet_id=subnet.id) }}"
                        style="display:inline" data-no-guard>
                    <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -109,7 +109,7 @@
    {{ empty_state('Kein Subnetz', 'Ohne Subnetz startet Kea nicht.', 'network') }}
  {% endif %}

-  {% if current_user.has('dhcp.edit') %}
+  {% if current_user.has('dhcp_subnets.create') %}
    <form method="post" action="{{ url_for('dhcp.add_subnet') }}">
      <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
      <div class="card__body">
@@ -135,7 +135,7 @@
 </section>

 {# -- Globale Einstellungen --------------------------------------------- #}
-{% if current_user.has('dhcp.edit') %}
+{% if current_user.has('dhcp_subnets.write') %}
  <section class="card">
    <div class="card__header">
      <div class="flex-1"><div class="card__title">{{ icon('sliders', size=17) }} Globale Einstellungen</div></div>
@@ -183,7 +183,7 @@
            </td>
            <td class="fs-xs mono">{{ option.type }}</td>
            <td>
-              {% if current_user.has('dhcp.edit') %}
+              {% if current_user.has('dhcp_options.write') %}
                <form method="post" action="{{ url_for('dhcp.set_option_value') }}" class="row row--tight"
                      data-no-guard>
                  <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -197,7 +197,7 @@
              {% endif %}
            </td>
            <td class="actions">
-              {% if current_user.has('dhcp.edit') and not option.is_standard %}
+              {% if current_user.has('dhcp_options.write') and not option.is_standard %}
                <form method="post" action="{{ url_for('dhcp.delete_custom_option', option_id=option.id) }}"
                      data-no-guard>
                  <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -213,7 +213,7 @@
      </tbody>
    </table>
  </div>
-  {% if current_user.has('dhcp.edit') %}
+  {% if current_user.has('dhcp_options.write') %}
    <form method="post" action="{{ url_for('dhcp.add_custom_option') }}">
      <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
      <div class="card__body">
@@ -339,7 +339,7 @@
                {% endif %}
              </td>
              <td class="actions">
-                {% if reservation.source == 'manüll' and current_user.has('dhcp.edit') %}
+                {% if reservation.source == 'manuell' and current_user.has('dhcp_reservations.delete') %}
                  <form method="post" data-no-guard
                        action="{{ url_for('dhcp.delete_reservation', reservation_id=reservation.reservation_id) }}">
                    <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -355,7 +355,7 @@
        </tbody>
      </table>
    </div>
-    {% if current_user.has('dhcp.edit') %}
+    {% if current_user.has('dhcp_reservations.create') %}
      <form method="post" action="{{ url_for('dhcp.add_reservation') }}">
        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
        <div class="card__body">
@@ -434,7 +434,7 @@
    {{ icon('chevron-down', size=16) }}
  </summary>
  <pre class="log-view">{{ preview }}</pre>
-  {% if current_user.has('dhcp.edit') %}
+  {% if current_user.has('dhcp_config.execute') %}
    <div class="card__footer">
      <form method="post" action="{{ url_for('dhcp.write_config') }}" data-no-guard>
        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -5,7 +5,7 @@
 {% block page_sub %}{{ mounts | length }} eingebundene Freigabe(n){% endblock %}

 {% block topbar_extra %}
-  {% if current_user.has('fileshare.edit') %}
+  {% if current_user.has('fileshare.write') %}
    <a class="btn btn--sm" href="{{ url_for('fileshare.mappings') }}">
      {{ icon('settings', size=15) }} Zuordnungen
    </a>
@@ -23,7 +23,7 @@
  <div class="tabs">
    {% for mount in mounts %}
      <a class="tab {{ 'is-active' if mount.token == token else '' }}"
-         href="{{ url_for('fileshare.browse', freigabe=mount.token) }}">{{ mount.label }}</a>
+         href="{{ url_for('fileshare.browse', share=mount.token) }}">{{ mount.label }}</a>
    {% endfor %}
  </div>

@@ -33,9 +33,9 @@
      <div class="card__header">
        <div class="flex-1">
          <nav class="breadcrumb">
-            <span><a href="{{ url_for('fileshare.browse', freigabe=token) }}">{{ current.label }}</a></span>
+            <span><a href="{{ url_for('fileshare.browse', share=token) }}">{{ current.label }}</a></span>
            {% for crumb in listing.breadcrumb %}
-              <span><a href="{{ url_for('fileshare.browse', freigabe=token, pfad=crumb.relative) }}">{{ crumb.name }}</a></span>
+              <span><a href="{{ url_for('fileshare.browse', share=token, path=crumb.relative) }}">{{ crumb.name }}</a></span>
            {% endfor %}
          </nav>
          <div class="card__sub mono fs-xs">{{ current.unc }}</div>
@@ -69,8 +69,8 @@
                <tr>
                  {% if current_user.has('fileshare.delete') %}<td></td>{% endif %}
                  <td colspan="4">
-                    <a class="link-icon" href="{{ url_for('fileshare.browse', freigabe=token,
-                       pfad=(listing.breadcrumb[-2].relative if listing.breadcrumb | length > 1 else '')) }}">
+                    <a class="link-icon" href="{{ url_for('fileshare.browse', share=token,
+                       path=(listing.breadcrumb[-2].relative if listing.breadcrumb | length > 1 else '')) }}">
                      {{ icon('chevron-right', size=14) }} eine Ebene höher
                    </a>
                  </td>
@@ -79,13 +79,26 @@
              {% for entry in listing.directories %}
                <tr>
                  {% if current_user.has('fileshare.delete') %}
-                    <td><label class="check"><input type="checkbox" name="pfade" value="{{ entry.relative }}"><span class="sr-only">auswählen</span></label></td>
+                    <td><label class="check"><input type="checkbox" name="paths" value="{{ entry.relative }}"><span class="sr-only">auswählen</span></label></td>
                  {% endif %}
-                  <td>
+                  {# Symbol und Name in einer Zeile: der Zeilenumbruch dazwischen
+                     liess den Ordner aussehen wie zwei halbe Zeilen. #}
+                  <td class="file-cell">
                    {{ icon('folder', size=15) }}
-                    <a href="{{ url_for('fileshare.browse', freigabe=token, pfad=entry.relative) }}">{{ entry.name }}</a>
+                    <a href="{{ url_for('fileshare.browse', share=token, path=entry.relative) }}">{{ entry.name }}</a>
+                  </td>
+                  {# An der Stelle der Dateigrösse: wie viel liegt darin. #}
+                  <td class="numeric faint fs-sm">
+                    {%- if entry.entries is not defined or entry.entries < 0 -%}
+                      &ndash;
+                    {%- elif entry.entries >= 500 -%}
+                      500+ Einträge
+                    {%- elif entry.entries == 1 -%}
+                      1 Eintrag
+                    {%- else -%}
+                      {{ entry.entries }} Einträge
+                    {%- endif -%}
                  </td>
-                  <td class="numeric faint">&ndash;</td>
                  <td class="fs-sm">{{ entry.modified | dt }}</td>
                  <td class="actions"></td>
                </tr>
@@ -93,7 +106,7 @@
              {% for entry in listing.files %}
                <tr>
                  {% if current_user.has('fileshare.delete') %}
-                    <td><label class="check"><input type="checkbox" name="pfade" value="{{ entry.relative }}"><span class="sr-only">auswählen</span></label></td>
+                    <td><label class="check"><input type="checkbox" name="paths" value="{{ entry.relative }}"><span class="sr-only">auswählen</span></label></td>
                  {% endif %}
                  {# Der Name ist die grösste Fläche der Zeile -- er soll auch
                     das Naheliegende tun. Was sich anzeigen lässt, öffnet die
@@ -102,16 +115,27 @@
                    {% if entry.previewable %}
                      <button class="link-icon file-name" type="button"
                              data-dialog-open="file-preview"
-                              data-fill-Src="{{ url_for('fileshare.preview', token=token, pfad=entry.relative) }}"
+                              data-fill-Src="{{ url_for('fileshare.preview', token=token, path=entry.relative) }}"
+                              data-fill-Pruefung="{{ url_for('fileshare.signature_state', token=token, path=entry.relative) }}"
+                              data-fill-Kind="{{ entry.preview_kind }}"
+                              data-fill-Pfad="{{ entry.relative }}"
                              data-fill-Name="{{ entry.name }}"
-                              data-fill-Download="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}">
+                              {% if current_user.has('fileshare.export') %}data-fill-Download="{{ url_for('fileshare.download', token=token, path=entry.relative) }}"{% endif %}>
                        {{ icon('file-text', size=15) }} {{ entry.name }}
                      </button>
                    {% else %}
-                      <a class="link-icon"
-                         href="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}">
-                        {{ icon('file-text', size=15) }} {{ entry.name }}
-                      </a>
+                      {% if current_user.has('fileshare.export') %}
+                        <a class="link-icon"
+                           href="{{ url_for('fileshare.download', token=token, path=entry.relative) }}">
+                          {{ icon('file-text', size=15) }} {{ entry.name }}
+                        </a>
+                      {% else %}
+                        {# Ohne Exportrecht bleibt der Name Text: es gibt hier
+                           nichts zu holen, und ein toter Link waere Spott. #}
+                        <span class="link-icon faint">
+                          {{ icon('file-text', size=15) }} {{ entry.name }}
+                        </span>
+                      {% endif %}
                    {% endif %}
                  </td>
                  <td class="numeric fs-sm">{{ entry.size | bytes }}</td>
@@ -120,21 +144,27 @@
                    {% if entry.previewable %}
                      <button class="btn btn--sm btn--ghost" type="button"
                              data-dialog-open="file-preview"
-                              data-fill-Src="{{ url_for('fileshare.preview', token=token, pfad=entry.relative) }}"
+                              data-fill-Src="{{ url_for('fileshare.preview', token=token, path=entry.relative) }}"
+                              data-fill-Pruefung="{{ url_for('fileshare.signature_state', token=token, path=entry.relative) }}"
+                              data-fill-Kind="{{ entry.preview_kind }}"
+                              data-fill-Pfad="{{ entry.relative }}"
                              data-fill-Name="{{ entry.name }}"
-                              data-fill-Download="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}"
+                              {% if current_user.has('fileshare.export') %}data-fill-Download="{{ url_for('fileshare.download', token=token, path=entry.relative) }}"{% endif %}
                              aria-label="Vorschau">{{ icon('eye', size=15) }}</button>
                    {% endif %}
-                    {% if current_user.has('fileshare.edit') %}
+                    {% if current_user.has('fileshare.write') %}
                      <button class="btn btn--sm btn--ghost" type="button"
                              data-dialog-open="file-rename"
                              data-fill-Pfad="{{ entry.relative }}"
-                              data-fill-Name="{{ entry.name }}"
+                              data-fill-Name="{{ entry.stem }}"
+                              data-fill-Endung="{{ entry.suffix or '' }}"
                              aria-label="Umbenennen">{{ icon('pencil', size=15) }}</button>
                    {% endif %}
-                    <a class="btn btn--sm btn--ghost"
-                       href="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}"
-                       aria-label="Herunterladen">{{ icon('download', size=15) }}</a>
+                    {% if current_user.has('fileshare.export') %}
+                      <a class="btn btn--sm btn--ghost"
+                         href="{{ url_for('fileshare.download', token=token, path=entry.relative) }}"
+                         aria-label="Herunterladen">{{ icon('download', size=15) }}</a>
+                    {% endif %}
                  </td>
                </tr>
              {% endfor %}
@@ -167,7 +197,7 @@
        <form method="post" enctype="multipart/form-data" data-no-guard
              action="{{ url_for('fileshare.upload', token=token) }}">
          <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
-          <input type="hidden" name="pfad" value="{{ listing.relative }}">
+          <input type="hidden" name="path" value="{{ listing.relative }}">
          <div class="card__body row">
            <input class="input" type="file" name="files" multiple required style="flex:1">
            <button class="btn btn--primary" type="submit" data-busy-label="Lädt ...">Hochladen</button>
@@ -184,7 +214,7 @@
  {% call modal('folder-new', 'Ordner anlegen', listing.relative or 'Wurzelverzeichnis', 'narrow') %}
    <form method="post" action="{{ url_for('fileshare.make_directory', token=token) }}">
      <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
-      <input type="hidden" name="pfad" value="{{ listing.relative }}">
+      <input type="hidden" name="path" value="{{ listing.relative }}">
      <div class="modal__body">{{ field('name', 'Name', required=True) }}</div>
      <div class="modal__footer">
        <button class="btn" type="button" data-dialog-close>Abbrechen</button>
@@ -201,29 +231,182 @@
     Dialog für alle Dateien statt einer je Zeile. #}
  {% call modal('file-preview', 'Vorschau', '', 'wide') %}
    <div class="modal__caption" data-fill-target="Name"></div>
-    <div class="modal__body modal__body--flush">
-      <iframe class="file-preview" title="Vorschau" data-fill-target="Src" data-fill-as="src"
-              src="about:blank" referrerpolicy="same-origin"></iframe>
+    {# Drei Anzeigen, eine je Art. Ein Rahmen für alles zeigte ein Foto vom
+       iPad in Originalgrösse (also einen Ausschnitt) und ein PDF auf iPadOS
+       nur als Standbild -- Formularfelder liessen sich nicht anfassen. #}
+    <div class="modal__body modal__body--flush" data-viewer
+         {# Ohne das Recht zum Ausfuellen zeigt die Vorschau das Dokument so,
+            wie es ist -- mit seinen eigenen Marken, ohne Eingabefelder. #}
+         data-viewer-formulare="{{ '1' if current_user.has('fileshare_pdf.read') else '' }}"
+         data-viewer-pdfjs="{{ asset_url('vendor/pdfjs/pdf.min.js') }}"
+         data-viewer-pdflib="{{ asset_url('vendor/pdflib/pdf-lib.min.js') }}"
+         data-viewer-konto="{{ current_user.username }}"
+         data-viewer-zeuge="{{ '1' if signature_witness else '0' }}"
+         data-viewer-zeit="{{ serverzeit }}"
+         data-viewer-ordnerliste="{{ verzeichnisse | tojson }}">
+      <div class="viewer">
+        <div class="viewer__stage" data-viewer-bildbuehne hidden>
+          <img class="viewer__img" alt="" data-viewer-bild>
+        </div>
+        <div class="viewer__pdf" data-viewer-pdf hidden>
+          {# Zwei Ebenen: aussen ein normaler Kasten, der sich die Hoehe mit
+             Leiste und Speicherzeile teilt, innen der absolute Scrollbereich,
+             den pdf.js verlangt. #}
+          <div class="viewer__pdfscroll" data-viewer-pdfscroll>
+            <div class="pdfViewer" data-viewer-pdfseiten></div>
+          </div>
+        </div>
+        <iframe class="file-preview" title="Vorschau" data-viewer-rahmen
+                src="about:blank" referrerpolicy="same-origin" hidden></iframe>
+        {# Gefragt wird erst, wenn gespeichert werden soll -- vorher waere es
+           eine Zeile Formular über jeder Bildvorschau. Und nur, wer Formulare
+           ablegen darf, sieht sie überhaupt. #}
+        {% if current_user.has('fileshare_pdf.create') %}
+        {# Unterschreiben: Name tippen, mit dem Finger zeichnen, ins Dokument
+           setzen. Der Name daneben ist eine Angabe des Unterschreibenden – wie
+           auf Papier; wer abgelegt hat, steht im Änderungsprotokoll. #}
+        <div class="viewer__sign" data-viewer-unterschriftpanel hidden>
+          <div class="viewer__signfelder">
+            <label class="viewer__feld">
+              <span class="field__label">Vorname</span>
+              <input class="input" data-viewer-vorname autocomplete="off">
+            </label>
+            <label class="viewer__feld">
+              <span class="field__label">Nachname</span>
+              <input class="input" data-viewer-nachname autocomplete="off">
+            </label>
+          </div>
+          <canvas class="viewer__signpad" data-viewer-signpad width="700" height="200"
+                  aria-label="Unterschriftsfeld"></canvas>
+          <div class="viewer__signaktionen">
+            <span class="fs-xs faint" data-viewer-signhinweis></span>
+            <button class="btn btn--sm btn--ghost" type="button" data-viewer-signleeren>Leeren</button>
+            <button class="btn btn--sm btn--ghost" type="button" data-viewer-signabbrechen>Abbrechen</button>
+            <button class="btn btn--sm btn--primary" type="button" data-viewer-signsetzen>
+              Unterschrift setzen
+            </button>
+          </div>
+          <p class="fs-xs faint">
+            Nach „Unterschrift setzen“ auf die Stelle im Dokument tippen. Mit Unterschrift
+            wird immer abgeschlossen gespeichert – die Felder sind danach gesperrt.
+          </p>
+        </div>
+        <div class="viewer__save" data-viewer-speichernzeile hidden>
+          {# Zwei eingebundene Freigaben, ein Formular: die Vorlage liegt in der
+             einen, die ausgefüllte Fassung gehört in die andere. #}
+          <label class="viewer__feld">
+            <span class="field__label">Freigabe</span>
+            <select class="select" data-viewer-ziel
+                    data-url-vorlage="{{ url_for('fileshare.folders', token='__token__') }}">
+              {% for eintrag in mounts %}
+                <option value="{{ eintrag.token }}" {% if eintrag.token == token %}selected{% endif %}>
+                  {{ eintrag.label }}
+                </option>
+              {% endfor %}
+            </select>
+          </label>
+          <label class="viewer__feld">
+            <span class="field__label">Ordner</span>
+            {# Auswahl statt Eingabe mit Vorschlagsliste: auf einem iPad laesst
+               sich ein <datalist> kaum bedienen -- das Freigabefeld daneben
+               zeigt, wie es sein soll. #}
+            <select class="select" data-viewer-ordner>
+              <option value="">Wurzelverzeichnis der Freigabe</option>
+              {% for eintrag in verzeichnisse %}
+                <option value="{{ eintrag }}">{{ eintrag }}</option>
+              {% endfor %}
+            </select>
+          </label>
+          <label class="viewer__feld">
+            <span class="field__label">Dateiname (ohne Endung)</span>
+            <input class="input" data-viewer-name autocomplete="off">
+          </label>
+          <label class="viewer__feld">
+            <span class="field__label">Speichern als</span>
+            {# Zwei Wege, beide gewollt: weiter ausfüllbar (das Bild wird das
+               Aussehen des Knopfes und lässt sich später austauschen) oder
+               abgeschlossen (alle Felder werden Teil der Seite). #}
+            {# Nur, was das Recht hergibt: "weiter ausfüllbar" hängt an
+               PDF-Formulare/Bearbeiten, "abgeschlossen" an Anlegen. Wer nur
+               anlegen darf, sieht eine Zeile statt einer Auswahl. #}
+            <select class="select" data-viewer-modus>
+              {% if current_user.has('fileshare_pdf.write') %}
+                <option value="formular">Formular – weiter ausfüllbar</option>
+              {% endif %}
+              <option value="fertig">Abgeschlossen – Felder gesperrt</option>
+            </select>
+          </label>
+          {# Haken über den Knöpfen und beides rechts: gelesen wird die Zeile von
+             links nach rechts (wohin, wie es heißt, wie gespeichert), und die
+             Entscheidung steht am Ende. #}
+          <div class="viewer__saveaktionen">
+            <label class="check" data-viewer-ersetzenfeld>
+              <input type="checkbox" data-viewer-ersetzen>
+              <span>Vorhandene ersetzen</span>
+            </label>
+            <div class="viewer__saveknoepfe">
+              <button class="btn btn--sm btn--ghost" type="button" data-viewer-abbrechen>
+                Abbrechen
+              </button>
+              <button class="btn btn--sm btn--primary" type="button" data-viewer-jetzt>
+                Speichern
+              </button>
+            </div>
+          </div>
+        </div>
+        {% endif %}
+        {# Das Ergebnis der Pruefung steht über der Leiste – wer eine
+           unterschriebene Fassung öffnet, soll es sehen, bevor er liest. #}
+        <p class="viewer__pruefung" data-viewer-pruefung hidden></p>
+        <div class="viewer__bar" data-viewer-leiste hidden>
+          <button class="btn btn--sm btn--ghost" type="button" data-viewer-zoom="aus"
+                  aria-label="Verkleinern">{{ icon('minus', size=15) }}</button>
+          <button class="btn btn--sm btn--ghost" type="button" data-viewer-zoom="fit">Anpassen</button>
+          <button class="btn btn--sm btn--ghost" type="button" data-viewer-zoom="ein"
+                  aria-label="Vergrössern">{{ icon('plus', size=15) }}</button>
+          <span class="viewer__hint fs-xs faint" data-viewer-hinweis></span>
+        </div>
+      </div>
    </div>
    <div class="modal__footer">
-      <a class="btn btn--sm" data-fill-target="Download" data-fill-as="href" href="#" download>
-        {{ icon('download', size=15) }} Herunterladen
-      </a>
-      <button class="btn btn--primary" type="button" data-dialog-close>Schliessen</button>
+      {% if current_user.has('fileshare.export') %}
+        <a class="btn btn--sm" data-fill-target="Download" data-fill-as="href" href="#" download>
+          {{ icon('download', size=15) }} Herunterladen
+        </a>
+      {% endif %}
+      {# Unterschreiben ist eine eigene Zeile der Matrix: wer ausgefuellte
+         Formulare ablegen darf, darf damit nicht unterschreiben. Der Server
+         weist es ohnehin ab -- aber ein Knopf, der immer in eine Meldung
+         laeuft, ist keiner. #}
+      {% if current_user.has('fileshare_signature.execute') %}
+        <button class="btn btn--sm" type="button" data-viewer-unterschreiben hidden>
+          {{ icon('pencil', size=15) }} Unterschreiben
+        </button>
+      {% endif %}
+      {% if current_user.has('fileshare_pdf.create') %}
+        <button class="btn btn--sm" type="button" data-viewer-speichern hidden
+                data-url="{{ url_for('fileshare.save_form', token=token) }}">
+          {{ icon('save', size=15) }} Ausgefüllt speichern
+        </button>
+      {% endif %}
+      <button class="btn btn--primary" type="button" data-dialog-close>Schließen</button>
    </div>
  {% endcall %}
 {% endif %}

-{% if listing and current_user.has('fileshare.edit') %}
+{% if listing and current_user.has('fileshare.write') %}
  {% call modal('file-rename', 'Umbenennen', '', 'narrow') %}
    <form method="post" action="{{ url_for('fileshare.rename', token=token) }}">
      <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
      <input type="hidden" name="parent" value="{{ listing.relative }}">
-      <input type="hidden" name="pfad" data-fill-target="Pfad" value="">
+      <input type="hidden" name="path" data-fill-target="Pfad" value="">
      <div class="modal__body">
-        {{ field('name', 'Neuer Name', required=True, attrs='data-fill-target="Name"') }}
+        {{ field('name', 'Neuer Name (ohne Endung)', required=True,
+                 attrs='data-fill-target="Name"') }}
        <p class="fs-xs faint">
-          Umbenannt wird auf der Freigabe selbst -- es gibt dort keinen Papierkorb.
+          Die Endung <code data-fill-target="Endung"></code> bleibt, wie sie ist --
+          eine Datei ohne passende Endung öffnet auf der Freigabe nichts mehr.
+          Umbenannt wird dort direkt; einen Papierkorb gibt es nicht.
        </p>
      </div>
      <div class="modal__footer">
@@ -33,7 +33,7 @@ Einbindungen.', 'info') }}
              <td class="fs-sm">{{ entry.ad_group_name }}
                <div class="fs-xs faint break-all">{{ entry.ad_group_dn }}</div></td>
              <td class="actions">
-                {% if current_user.has('fileshare.edit') %}
+                {% if current_user.has('fileshare.write') %}
                  <button class="btn btn--sm btn--ghost" type="button"
                          data-dialog-open="mapping-edit-{{ entry.id }}"
                          aria-label="Bearbeiten">{{ icon('pencil', size=15) }}</button>
@@ -80,7 +80,7 @@ Einbindungen.', 'info') }}
 {# Bearbeiten statt neu anlegen: bei einem Tippfehler im UNC-Pfad oder im
   Anzeigenamen soll man ihn korrigieren können. Sonst legt man daneben einen
   zweiten Eintrag an und vergisst, den ersten zu löschen. #}
-{% if current_user.has('fileshare.edit') %}
+{% if current_user.has('fileshare.write') %}
  {% for entry in mappings %}
    {% call modal('mapping-edit-' ~ entry.id, entry.label, 'Zuordnung ändern') %}
      <form method="post" action="{{ url_for('fileshare.mapping_update', mapping_id=entry.id) }}">
@@ -37,7 +37,7 @@ wird nie stillschweigend übernommen: das ist der Fall, der bei einem Angriff au
      <div class="alert__title">Gelesener Schlüssel von {{ probed_host }}:{{ probed_port }}</div>
      <div class="mono fs-sm break-all">{{ probed_type }} {{ probed_fingerprint }}</div>
      <p class="fs-sm mt-2">
-        Vergleichen Sie den Fingerprint mit einer unabhängigen Quelle -- Konsolenzugang am
+        Vergleichen Sie den Fingerprint mit einer unabhängigen Quelle | Konsolenzugang am
        Gerät, Inventardokumentation --, bevor Sie ihn unten freigeben.
      </p>
    </div>
@@ -145,7 +145,7 @@ wird nie stillschweigend übernommen: das ist der Fall, der bei einem Angriff au
      <div class="flex-1">
        <div class="card__title">{{ icon('alert', size=17) }} Verwaiste Freigaben</div>
        <div class="card__sub">
-          Zu diesen Einträgen gibt es kein Ziel mehr -- gelöscht oder mit neuer IP.
+          Zu diesen Einträgen gibt es kein Ziel mehr – gelöscht oder mit neuer IP.
        </div>
      </div>
    </div>
@@ -160,7 +160,7 @@ wird nie stillschweigend übernommen: das ist der Fall, der bei einem Angriff au
              <td class="mono fs-xs break-all">{{ row.fingerprint }}</td>
              <td class="fs-sm">{{ row.added_at | dt }} <span class="faint">von {{ row.added_by }}</span></td>
              <td>
-                {% if current_user.has('devices.edit') or current_user.has('switches.edit') %}
+                {% if current_user.has('devices.write') or current_user.has('switches.write') %}
                  <form method="post" action="{{ url_for('hostkeys.forget_orphan') }}" data-no-guard>
                    <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
                    <input type="hidden" name="host" value="{{ row.host }}">
@@ -76,7 +76,7 @@
            </dd>
          </dl>
        </div>
-        {% if current_user.has('settings_license.edit') %}
+        {% if current_user.has('settings_license.write') %}
          <div class="card__footer">
            {% if not state.activated %}
              <form method="post" action="{{ url_for('license.activate') }}" data-no-guard>
@@ -125,7 +125,7 @@
          {% if pending.code %}
            <div class="field">
              <span class="field__label">
-                Anfragecode -- an den Anbieter übermitteln
+                Anfragecode – an den Anbieter übermitteln
              </span>
              <pre class="log-view" id="offline-request" style="max-height:14dvh">{{ pending.code }}</pre>
              <div class="row row--end mt-2">
@@ -155,7 +155,7 @@
      </section>
    {% endif %}

-    {% if current_user.has('settings_license.edit') %}
+    {% if current_user.has('settings_license.write') %}
      <section class="card">
        <div class="card__header">
          <div class="flex-1">
@@ -190,7 +190,7 @@
      </section>
    {% endif %}

-    {% if current_user.has('settings_license.edit') %}
+    {% if current_user.has('settings_license.write') %}
      <section class="card">
        <div class="card__header">
          <div class="flex-1">
@@ -234,7 +234,7 @@
        </dl>
        <p class="fs-xs faint mt-3">
          Der Fingerprint stammt aus der stabilen Maschinenidentität. Eine Umbenennung des Hosts
-          ändert ihn <strong>nicht</strong> mehr -- im Vorgänger führte genau das zu
+          ändert ihn <strong>nicht</strong> mehr – im Vorgänger führte genau das zu
          &bdquo;bereits anderweitig gebunden&ldquo;.
        </p>
      </div>
@@ -1,6 +1,6 @@
 {% extends "tesm_core/base.html" %}
 {% from "tesm_core/macros.html" import alert %}
-{% block page_title %}Kea-DHCP-Protokoll{% endblock %}
+{% block page_title %}DHCP-Protokoll{% endblock %}
 {% block page_sub %}{{ path }}{% endblock %}
 {% block content %}
 {% if error %}{{ alert(error, 'warning') }}{% endif %}
@@ -5,7 +5,7 @@
 {% block topbar_extra %}{{ search_box('restart-table', 'Gerät, Ergebnis, Methode ...') }}{% endblock %}
 {% block content %}
 {{ alert('Jeder Neustart wird mit Methode, Ergebnis, Dauer und Auslöser festgehalten -- automatisch
-wie manüll, über den PoE-Port des Switches ebenso wie per Neustart-Befehl aus der Wartung.
+wie manuell, über den PoE-Port des Switches ebenso wie per Neustart-Befehl aus der Wartung.
 Der Vorgänger protokollierte Neustarts ausdrücklich nicht.', 'info') }}

 <section class="card">
@@ -15,7 +15,7 @@ Der Vorgänger protokollierte Neustarts ausdrücklich nicht.', 'info') }}
      <div class="card__sub">
        {% for value, label in methods %}
          <a class="btn btn--sm {{ 'btn--ghost' if method != value else '' }}"
-             href="{{ url_for('tesmlogs.restarts', methode=value) }}">{{ label }}</a>
+             href="{{ url_for('tesmlogs.restarts', method=value) }}">{{ label }}</a>
        {% endfor %}
        <a class="btn btn--sm {{ 'btn--ghost' if method else '' }}"
           href="{{ url_for('tesmlogs.restarts') }}">Alle</a>
@@ -54,7 +54,7 @@ Druckerfreigabe. Der PoE-Neustart ist davon getrennt: er schaltet den Switch-Por
        <span>Alle auswählen</span>
      </label>
      <span class="table-toolbar__spacer"></span>
-      {% if current_user.has('maintenance.execute') %}
+      {% if current_user.has('servicing_update.execute') %}
        <button class="btn btn--sm btn--primary" type="submit"
                formaction="{{ url_for('maintenance.start_update') }}"
                title="Nur für Linux-Clients -- Windows-Geräte werden dabei übersprungen." 
@@ -91,7 +91,7 @@ Druckerfreigabe. Der PoE-Neustart ist davon getrennt: er schaltet den Switch-Por
                <label class="check">
                  <input type="checkbox" name="device_ids" value="{{ device.id }}"
                         class="device-select" data-category="{{ device.category }}"
-                         {% if not current_user.has('maintenance.execute') %}disabled{% endif %}>
+                         {% if not current_user.has('servicing_update.execute') %}disabled{% endif %}>
                  <span class="sr-only">{{ device.name }} auswählen</span>
                </label>
              </td>
@@ -121,7 +121,7 @@ Druckerfreigabe. Der PoE-Neustart ist davon getrennt: er schaltet den Switch-Por
              </td>
              <td class="nowrap">
                {% if terminal_enabled and device.ssh_managed
-                      and current_user.has('maintenance.execute') %}
+                      and current_user.has('servicing_update.execute') %}
                  <a class="btn btn--sm btn--ghost"
                     href="{{ url_for('terminal.device_console', device_id=device.id) }}">
                    {{ icon('terminal', size=14) }} Konsole
@@ -151,7 +151,7 @@ Druckerfreigabe. Der PoE-Neustart ist davon getrennt: er schaltet den Switch-Por
    <div class="flex-1">
      <div class="card__title">{{ icon('clock', size=17) }} Aufträge</div>
      <div class="card__sub">
-        Zustand liegt in der Datenbank -- ein Dienst-Neustart verliert ihn nicht mehr
+        Zustand liegt in der Datenbank – ein Dienst-Neustart verliert ihn nicht mehr
      </div>
    </div>
  </div>
@@ -194,7 +194,7 @@ Druckerfreigabe. Der PoE-Neustart ist davon getrennt: er schaltet den Switch-Por
 {% block scripts %}
 <script type="module" nonce="{{ csp_nonce }}">
  // Auswahl beim Laden bewusst zurücksetzen: Browser stellen den Checked-Zustand
-  // sonst aus dem Verlauf wieder her -- und dann wird bei "Neustarten"
+  // sonst aus dem Verlauf wieder her – und dann wird bei "Neustarten"
  // versehentlich das falsche Gerät erwischt.
  const boxes = Array.from(document.querySelectorAll(".device-select"));
  boxes.forEach((box) => (box.checked = false));
@@ -211,7 +211,7 @@ Druckerfreigabe. Der PoE-Neustart ist davon getrennt: er schaltet den Switch-Por
      const state = await window.tesm.api("{{ url_for('maintenance.status') }}");
      if (state.running) window.setTimeout(() => location.reload(), state.poll_ms);
    } catch {
-      /* stumm bleiben -- die Seite ist auch ohne Aktualisierung nutzbar */
+      /* stumm bleiben – die Seite ist auch ohne Aktualisierung nutzbar */
    }
  }
  poll();
@@ -1,5 +1,5 @@
 {% extends "tesm_core/base.html" %}
-{% from "tesm_core/macros.html" import field, select_field, checkbox, alert, pill %}
+{% from "tesm_core/macros.html" import field, select_field, checkbox, alert, pill, nav_order_card %}

 {% block page_title %}Systemeinstellungen{% endblock %}
 {% block page_sub %}Überwachung, Protokolle, Host, Navigation{% endblock %}
@@ -41,7 +41,7 @@
          </div>
          {{ checkbox('monitor_auto_restart', 'Automatischen PoE-Neustart bei Ausfall aktivieren',
                      checked=values.monitor_auto_restart,
-                      hint_text='Zusätzlich lizenzpflichtig. Der manülle Knopf im Dashboard
+                      hint_text='Zusätzlich lizenzpflichtig. Der manuelle Knopf im Dashboard
                      funktioniert unabhängig davon.') }}
          {{ checkbox('dashboard_public', 'Statusübersicht ohne Anmeldung erreichbar',
                      checked=values.dashboard_public,
@@ -54,18 +54,23 @@
    <section class="card">
      <div class="card__header">
        <div class="flex-1">
-          <div class="card__title">{{ icon('terminal', size=17) }} Switch-Konsole</div>
+          <div class="card__title">{{ icon('terminal', size=17) }} Terminal</div>
          <div class="card__sub">
            Auch bei aktiver Konsole gilt: eigenes Recht, frische Passwortbestätigung,
-            vollständige Mitschrift
+            vollständige Mitschrift. Abgeschaltet bleibt das Freigeben von
+            SSH-Host-Schlüsseln möglich – es wird für den PoE-Neustart gebraucht.
          </div>
        </div>
      </div>
      <form method="post" action="{{ url_for('settings.system_save') }}">
        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
        <div class="card__body stack">
-          {{ checkbox('terminal_enabled', 'Browser-Konsole für Switche zulassen',
-                      checked=values.terminal_enabled) }}
+          {{ checkbox('terminal_switches_enabled', 'Browser-Konsole für Switche zulassen',
+                      checked=values.terminal_switches_enabled,
+                      hint_text=specs['terminal_switches_enabled'].hint) }}
+          {{ checkbox('terminal_clients_enabled', 'Browser-Konsole für Clients zulassen',
+                      checked=values.terminal_clients_enabled,
+                      hint_text=specs['terminal_clients_enabled'].hint) }}
          {{ field('terminal_idle_timeout', 'Trennen bei Untätigkeit (Sekunden)',
                   value=values.terminal_idle_timeout, type='number') }}
        </div>
@@ -73,6 +78,60 @@
      </form>
    </section>

+    <section class="card">
+      <div class="card__header">
+        <div class="flex-1">
+          <div class="card__title">{{ icon('pencil', size=17) }} Unterschriften</div>
+          <div class="card__sub">
+            Der Name in der Unterschrift ist eine Angabe des Unterschreibenden – wie auf
+            Papier. Wer das Dokument abgelegt hat, ist dagegen belegt: in den
+            Dokumenteigenschaften und im Änderungsprotokoll, auf Wunsch zusätzlich
+            sichtbar unter der ersten Unterschrift.
+          </div>
+        </div>
+      </div>
+      <form method="post" action="{{ url_for('settings.system_save') }}">
+        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
+        <div class="card__body stack">
+          {{ checkbox('signature_witness_enabled', 'Unterschriften mit dem ablegenden Konto bezeugen',
+                      checked=values.signature_witness_enabled,
+                      hint_text=specs['signature_witness_enabled'].hint) }}
+        </div>
+        <div class="card__footer"><button class="btn btn--primary" type="submit">Speichern</button></div>
+      </form>
+    </section>
+
+    {# Eigene Karte: die Abmeldung stand zwischen Protokollrotation und
+       Papierkorb -- drei Dinge ohne Zusammenhang. Wer die Sitzungsdauer sucht,
+       sucht sie nicht unter "Protokolle". #}
+    <section class="card">
+      <div class="card__header">
+        <div class="flex-1">
+          <div class="card__title">{{ icon('clock', size=17) }} Sitzungen</div>
+          <div class="card__sub">
+            Wie lange eine Anmeldung gilt. Beides bestimmt auch, wie lange eine
+            eingebundene Dateifreigabe bestehen bleibt – sie endet mit der Sitzung.
+          </div>
+        </div>
+      </div>
+      <form method="post" action="{{ url_for('settings.system_save') }}">
+        <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
+        <div class="card__body">
+          <div class="form-grid">
+            {{ field('session_idle_minutes', 'Automatische Abmeldung nach Leerlauf (Minuten)',
+                     value=values.session_idle_minutes, type='number',
+                     attrs='min="5" max="1440" step="1"',
+                     hint_text=specs['session_idle_minutes'].hint) }}
+            {{ field('session_absolute_hours', 'Längstmögliche Sitzungsdauer (Stunden)',
+                     value=values.session_absolute_hours, type='number',
+                     attrs='min="1" max="168" step="1"',
+                     hint_text=specs['session_absolute_hours'].hint) }}
+          </div>
+        </div>
+        <div class="card__footer"><button class="btn btn--primary" type="submit">Speichern</button></div>
+      </form>
+    </section>
+
    <section class="card">
      <div class="card__header">
        <div class="flex-1">
@@ -87,9 +146,6 @@
                            specs['log_rotate_interval'].choices, selected=values.log_rotate_interval) }}
            {{ field('log_rotate_keep', 'Aufbewahrte Rotationen', value=values.log_rotate_keep,
                     type='number') }}
-            {{ field('session_idle_minutes', 'Automatische Abmeldung (Minuten)',
-                     value=values.session_idle_minutes, type='number',
-                     hint_text=specs['session_idle_minutes'].hint) }}
            {{ field('trash_retention_days', 'Papierkorb-Aufbewahrung (Tage)',
                     value=values.trash_retention_days, type='number',
                     hint_text=specs['trash_retention_days'].hint) }}
@@ -133,39 +189,8 @@
    </section>

    {% if current_user.is_admin %}
-      <section class="card">
-        <div class="card__header">
-          <div class="flex-1">
-            <div class="card__title">{{ icon('sliders', size=17) }} Navigationsreihenfolge</div>
-            <div class="card__sub">Gilt für alle Benutzer; jeder sieht weiter nur, was er darf</div>
-          </div>
-        </div>
-        <form method="post" action="{{ url_for('admin.nav_order') }}">
-          <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
-          <div class="card__body">
-            <ol class="stack stack--tight">
-              {% for key in nav_order %}
-                {% set item = nav_items | selectattr('key', 'equalto', key) | list | first %}
-                {% if item %}
-                  <li class="row row--tight">
-                    <input class="input" type="number" name="position_{{ item.key }}" value="{{ loop.index }}"
-                           min="1" style="width:70px" disabled>
-                    <input type="hidden" name="order" value="{{ item.key }}">
-                    <span class="flex-1">{{ icon(item.icon, size=15) }} {{ item.label }}</span>
-                  </li>
-                {% endif %}
-              {% endfor %}
-            </ol>
-            <p class="fs-xs faint mt-3">
-              Die Reihenfolge folgt der Liste. Zum Umsortieren die Einträge in der gewünschten
-              Reihenfolge speichern (Drag-and-drop folgt in einer späteren Version).
-            </p>
-          </div>
-          <div class="card__footer">
-            <button class="btn btn--sm" type="submit">Reihenfolge speichern</button>
-          </div>
-        </form>
-      </section>
+      {{ nav_order_card(nav_items, nav_order, nav_child_order,
+                        url_for('admin.nav_order'), csrf_field_name, csrf_token()) }}
    {% endif %}
  </div>
 </div>
@@ -11,7 +11,7 @@
 {% endblock %}

 {% block topbar_extra %}
-  {% if terminal_enabled and current_user.has('switches.execute') and host_keys %}
+  {% if terminal_enabled and current_user.has('switch_console.execute') and host_keys %}
    <a class="btn btn--sm btn--primary" href="{{ url_for('terminal.switch_console', switch_id=switch.id) }}">
      {{ icon('terminal', size=15) }} Konsole
    </a>
@@ -32,7 +32,7 @@
            Ohne freigegebenen Schlüssel verweigert die Anwendung jeden Zugriff auf diesen Switch.
          </div>
        </div>
-        {% if current_user.has('switches.edit') %}
+        {% if current_user.has('switches.write') %}
          <form method="post" action="{{ url_for('switches.probe_host_key', switch_id=switch.id) }}"
                data-no-guard>
            <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -53,7 +53,7 @@
                Vergleichen Sie den Fingerprint mit einer unabhängigen Quelle (Konsolenzugang am
                Switch, Inventardokumentation), bevor Sie ihn freigeben.
              </p>
-              {% if current_user.has('switches.edit') %}
+              {% if current_user.has('switches.write') %}
                <form method="post" class="mt-2"
                      action="{{ url_for('switches.trust_host_key', switch_id=switch.id) }}">
                  <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -78,7 +78,7 @@
              </dd>
            {% endfor %}
          </dl>
-          {% if current_user.has('switches.edit') %}
+          {% if current_user.has('switches.write') %}
            <form method="post" action="{{ url_for('switches.forget_host_key', switch_id=switch.id) }}"
                  data-no-guard>
              <input type="hidden" name="{{ csrf_field_name }}" value="{{ csrf_token() }}">
@@ -95,7 +95,7 @@
      </div>
    </section>

-    {% if current_user.has('switches.execute') %}
+    {% if current_user.has('switch_console.execute') %}
      <section class="card">
        <div class="card__header">
          <div class="flex-1">
@@ -83,13 +83,13 @@ stillschweigend übernommen.', 'info', 'Host-Schlüssel') }}
              {% endif %}
            </td>
            <td class="actions">
-              {% if terminal_enabled and current_user.has('switches.execute') and switch.host_key_known %}
+              {% if terminal_enabled and current_user.has('switch_console.execute') and switch.host_key_known %}
                <a class="btn btn--sm btn--ghost" title="Konsole"
                   href="{{ url_for('terminal.switch_console', switch_id=switch.id) }}">
                  {{ icon('terminal', size=15) }}
                </a>
              {% endif %}
-              {% if current_user.has('switches.edit') %}
+              {% if current_user.has('switches.write') %}
                <button class="btn btn--sm btn--ghost" type="button"
                        data-dialog-open="switch-edit-{{ switch.id }}" aria-label="Bearbeiten">
                  {{ icon('pencil', size=15) }}
@@ -135,7 +135,7 @@ stillschweigend übernommen.', 'info', 'Host-Schlüssel') }}
    </form>
  {% endcall %}
 {% endif %}
-{% if current_user.has('switches.edit') %}
+{% if current_user.has('switches.write') %}
  {% for switch in switches %}
    {% call modal('switch-edit-' ~ switch.id, switch.hostname, switch.ip) %}
      <form method="post" action="{{ url_for('switches.update', switch_id=switch.id) }}">
@@ -36,7 +36,7 @@ class MonitorDaemon:
        self.running = True

    def stop(self, signum: int, _frame: FrameType | None) -> None:
-        logger.info("Signal %s empfangen -- beende nach dem laufenden Durchlauf.", signum)
+        logger.info("Signal %s empfangen – beende nach dem laufenden Durchlauf.", signum)
        self.running = False

    # ------------------------------------------------------------------ #
@@ -68,8 +68,8 @@ class MonitorDaemon:

    def run(self) -> int:
        live = self.extension.registry["live_log"]
-        live.info("monitor", "Ueberwachungsprozess gestartet")
-        logger.info("Ueberwachung laeuft, Datenbank: %s", self.extension.config.db_path)
+        live.info("monitor", "Überwachungsprozess gestartet")
+        logger.info("Überwachung läuft, Datenbank: %s", self.extension.config.db_path)

        while self.running:
            interval = self._interval()
@@ -84,8 +84,8 @@ class MonitorDaemon:
                        failures_before_restart=self._failures_before_restart(),
                    )
                logger.info(
-                    "Durchlauf: %s geprueft, %s online, %s offline, %s Neustarts (%s erfolgreich), "
-                    "%s ohne Lizenz uebersprungen, %sms",
+                    "Durchlauf: %s geprüft, %s online, %s offline, %s Neustarts (%s erfolgreich), "
+                    "%s ohne Lizenz übersprungen, %sms",
                    report.checked,
                    report.online,
                    report.offline,
@@ -96,7 +96,7 @@ class MonitorDaemon:
                )
            except Exception:  # noqa: BLE001 - der Dienst darf nie sterben
                logger.exception("Durchlauf fehlgeschlagen")
-                live.error("monitor", "Durchlauf fehlgeschlagen -- siehe app.log")
+                live.error("monitor", "Durchlauf fehlgeschlagen – siehe app.log")

            # Das Aufraeumen abgelaufener Freigabe-Einbindungen laeuft **nicht**
            # hier, sondern im Webprozess: eingebunden wird in dessen
@@ -112,7 +112,7 @@ class MonitorDaemon:
                time.sleep(min(1.0, remaining))
                remaining -= 1.0

-        live.info("monitor", "Ueberwachungsprozess beendet")
+        live.info("monitor", "Überwachungsprozess beendet")
        return 0


@@ -28,6 +28,9 @@ set -euo pipefail

 APP=""
 INSTANCE=""
+#: Verzeichnis der Umgebungsdateien. Ueberschreibbar, damit sich die
+#: Portsuche in einem Test wirklich ausfuehren laesst.
+ETC_TESM="${TESM_ETC_DIR:-/etc/tesm}"
 PORT=""
 HTTP_PORT=""
 SKIP_PACKAGES=0
@@ -46,6 +49,62 @@ warn()  { printf '%s !!%s %s\n' "$COLOR_WARN" "$COLOR_OFF" "$*"; }
 fail()  { printf '%s !!%s %s\n' "$COLOR_ERR" "$COLOR_OFF" "$*" >&2; exit 1; }
 info()  { printf '    %s\n' "$*"; }

+#: Merker fuer die EXIT-Falle. Zurueckgerollt wird nur, was auch gesichert ist.
+SICHERUNG_STEHT=0
+INSTALL_FERTIG=0
+ZURUECKGEROLLT=0
+
+zurueckrollen_install() {
+  [[ $SICHERUNG_STEHT -eq 1 && $ZURUECKGEROLLT -eq 0 ]] || return 0
+  # Kommt nur zum Zug, wenn die Sicherung steht -- dann sind diese Variablen
+  # gesetzt. Der Vollstaendigkeit halber trotzdem gepruefte Namen.
+  [[ -n "${BACKUP_DIR:-}" && -d "$BACKUP_DIR" ]] || { warn "Keine Sicherung gefunden -- nichts wiederhergestellt."; return 0; }
+  ZURUECKGEROLLT=1
+  warn "Alten Stand wiederherstellen."
+  systemctl stop "$UNIT" 2>/dev/null || true
+  [[ "$APP" == "tesm" ]] && systemctl stop "$MONITOR_UNIT" 2>/dev/null || true
+  rm -rf "$FAILED_DIR"
+  mv "$ROOT" "$FAILED_DIR" 2>/dev/null || true
+  cp -a "$BACKUP_DIR" "$ROOT"
+  systemctl start "$UNIT" 2>/dev/null || true
+  [[ "$APP" == "tesm" ]] && systemctl start "$MONITOR_UNIT" 2>/dev/null || true
+  warn "Wiederhergestellt aus $BACKUP_DIR"
+  warn "Fehlgeschlagener Stand liegt unter $FAILED_DIR"
+}
+
+# Bei **jedem** Fehlschlag, nicht nur bei einem, an den ich gedacht habe:
+# Systempakete, venv, sudoers, nginx, ein Ctrl-C. Vorher blieb der Dienst
+# gestoppt und das Verzeichnis teils ersetzt zurueck.
+bei_fehler() {
+  local code=$?
+  [[ $INSTALL_FERTIG -eq 1 || "$code" == "0" ]] && return "$code"
+  if [[ $SICHERUNG_STEHT -eq 1 ]]; then
+    zurueckrollen_install
+  else
+    # Neuinstallation: es gibt keinen alten Stand. Nichts loeschen -- im
+    # Zielverzeichnis kann eine Fassung 1.x liegen, deren Sicherung ein
+    # anderes Skript haelt (upgrade.sh).
+    # Vorsichtige Ersetzung: bricht es schon beim Auswerten der Argumente ab,
+    # gibt es $ROOT noch nicht -- und "set -u" wuerde die Falle selbst zum
+    # Fehler machen.
+    if [[ ${IS_UPDATE:-0} -eq 1 ]]; then
+      # Abbruch vor dem Sicherungsschritt: die Installation ist unangetastet.
+      warn "Abgebrochen (Code $code), bevor etwas geaendert wurde."
+      warn "Die bestehende Installation ist unberuehrt -- nichts zurueckzurollen."
+    else
+      warn "Abgebrochen (Code $code). Es gab keinen vorherigen Stand dieser Fassung,"
+      warn "also wurde nichts wiederhergestellt und nichts geloescht."
+      # Nur sagen, was es wirklich gibt: bei einem Abbruch an der Rueckfrage
+      # existiert das Verzeichnis noch nicht.
+      if [[ -n "${ROOT:-}" && -d "${ROOT:-}" ]]; then
+        warn "Angelegt wurde bis hierhin: $ROOT (Daten unter data/ unberuehrt)."
+      fi
+    fi
+  fi
+  return "$code"
+}
+trap bei_fehler EXIT
+
 usage() {
  cat <<'USAGE'
 Verwendung: install.sh --app <tesm|tesm-license> [Optionen]
@@ -109,16 +168,35 @@ LOG_DIR="/var/log/$NAME"
 SERVICE_USER="$APP"
 UNIT="$NAME.service"
 MONITOR_UNIT="$NAME-monitor.service"
+CLEANUP_UNIT="$NAME-cleanup.service"
+CLEANUP_TIMER="$NAME-cleanup.timer"
 NGINX_SITE="/etc/nginx/sites-available/$NAME"
 ENV_PREFIX="TESM_"
 [[ "$APP" == "tesm-license" ]] && ENV_PREFIX="TESM_LICENSE_"
+
+# Ausgabe des Lizenzservers: die Master-Ausgabe bringt das Teilpaket
+# tesm_license/master mit -- den einzigen Weg, auf dem eine Lizenzdatei die
+# Rolle "master" bekommt. Das Release fuer Sub-Lizenzserver hat es nicht.
+# Die Ausgabe haengt an der Anwesenheit des Verzeichnisses, nicht an einer
+# Einstellung: eine Einstellung liesse sich vor Ort umstellen.
+MASTER_TEILPAKET="apps/tesm-license/src/tesm_license/master"
+EDITION="standard"
+if [[ "$APP" == "tesm-license" ]]; then
+  if [[ -d "$REPO_DIR/$MASTER_TEILPAKET" ]]; then EDITION="master"; else EDITION="sub"; fi
+fi
 # Bei einer Aktualisierung gilt zuerst, was schon eingerichtet ist. Sonst
 # verschiebt ein Update ohne Portangaben die Anwendung: eine benannte Instanz
 # faellt auf 8080/8443 zurueck, auch wenn sie seit der Installation auf Port 80
 # lief -- und ein Reverse Proxy davor zeigt dann ins Leere. Dieselbe Regel wie
 # beim Secure-Flag weiter unten: eine Aktualisierung nimmt nichts weg, was
 # nicht ausdruecklich neu gesetzt wird.
-ENV_FILE="/etc/tesm/$NAME.env"
+ENV_FILE="$ETC_TESM/$NAME.env"
+# Wo die Daten liegen, steht in der Umgebungsdatei; ohne sie beim Vorgabeort.
+# "|| true": bei einer Neuinstallation gibt es die Datei noch nicht, und ein
+# scheiterndes sed in einer Zuweisung beendet unter "set -e" das ganze Skript.
+DATEN_DIR="$(sed -n "s/^${ENV_PREFIX}DATA_DIR=//p" "$ENV_FILE" 2>/dev/null || true)"
+DATEN_DIR="$(printf '%s' "$DATEN_DIR" | tail -1)"
+DATEN_DIR="${DATEN_DIR:-$ROOT/data}"
 if [[ -z "$PORT" && -f "$ENV_FILE" ]]; then
  PORT="$(sed -n "s/^${ENV_PREFIX}BIND=127\.0\.0\.1:\([0-9]\{1,5\}\)$/\1/p" "$ENV_FILE" | head -1)"
 fi
@@ -127,10 +205,30 @@ if [[ -f "$NGINX_SITE" ]]; then
  [[ -z "$HTTPS_PORT" ]] && HTTPS_PORT="$(sed -n 's/^[[:space:]]*listen[[:space:]]\([0-9]\{1,5\}\)[[:space:]]\+ssl.*/\1/p' "$NGINX_SITE" | head -1)"
 fi

+port_belegt() {
+  local p="$1"
+  # Schon von einer anderen Installation vergeben? Die Umgebungsdateien sind
+  # die Wahrheit -- ein Dienst kann gerade gestoppt sein und den Port trotzdem
+  # beanspruchen.
+  grep -qs "BIND=127\.0\.0\.1:$p\$" "$ETC_TESM"/*.env 2>/dev/null &&
+    return 0
+  # Oder gerade in Benutzung, von was auch immer.
+  command -v ss >/dev/null 2>&1 && [[ -n "$(ss -Hltn "sport = :$p" 2>/dev/null)" ]] && return 0
+  return 1
+}
+
 if [[ -z "$PORT" ]]; then
-  PORT=5000
-  [[ "$APP" == "tesm-license" ]] && PORT=5001
-  [[ -n "$INSTANCE" ]] && PORT=$((PORT + 100))
+  BASISPORT=5000
+  [[ "$APP" == "tesm-license" ]] && BASISPORT=5001
+  if [[ -n "$INSTANCE" ]]; then
+    # Frueher bekam **jede** Instanz Basis+100. Die zweite startete nie
+    # ("Address already in use") -- und die Gesundheitspruefung merkte es
+    # nicht, weil die erste auf demselben Port antwortete.
+    PORT=$((BASISPORT + 100))
+    while port_belegt "$PORT"; do PORT=$((PORT + 1)); done
+  else
+    PORT=$BASISPORT
+  fi
 fi
 if [[ -z "$HTTP_PORT" ]]; then
  HTTP_PORT=80
@@ -212,12 +310,41 @@ fi
 # Der Vorgaenger lief als root. Hier laeuft der Dienst unprivilegiert; Rootrechte
 # gibt es ausschliesslich ueber den Helfer.

+# Ein Sub-Paket auf eine Master-Installation waere ein stiller Rueckbau: der
+# Abgleich unten laeuft mit --delete und wuerde das Teilpaket entfernen. Danach
+# gaebe es auf dem Master keinen Weg mehr, eine Master-Lizenz auszustellen --
+# und niemand haette es gesagt.
+# Die Rolle steht in der eingespielten Lizenz. Das ist die zuverlaessigere
+# Haelfte der Pruefung: eine Master-Installation aus einer aelteren Fassung
+# kennt das Teilpaket noch nicht, ist aber trotzdem eine Wurzelinstanz.
+ROLLE_ALT=""
+if [[ "$EDITION" == "sub" && -s "$DATEN_DIR/license.json" ]]; then
+  ROLLE_ALT="$(python3 -c '
+import json, sys
+try:
+    print(json.load(open(sys.argv[1])).get("role", ""))
+except Exception:
+    pass
+' "$DATEN_DIR/license.json" 2>/dev/null || true)"
+fi
+
+if [[ "$EDITION" == "sub" && ( -d "$ROOT/$MASTER_TEILPAKET" || "$ROLLE_ALT" == "master" ) ]]; then
+  fail "Hier laeuft eine Wurzelinstanz${ROLLE_ALT:+ (Lizenz mit Rolle $ROLLE_ALT)}, dieses Paket
+    ist die Ausgabe fuer Sub-Lizenzserver.
+    Eine Aktualisierung damit wuerde die Master-Ausgabe entfernen.
+    Passendes Paket: Repository tesm-license-master (privat).
+    Bewusster Rueckbau: eine vom Master ausgestellte Lizenz einspielen (Rolle
+    license_server) und $ROOT/$MASTER_TEILPAKET entfernen -- danach ist dies ein
+    Sub-Lizenzserver und dieses Paket das richtige."
+fi
+
 # -- Backup ------------------------------------------------------------------
 if [[ $IS_UPDATE -eq 1 ]]; then
  step "Sicherung vor der Aktualisierung"
  systemctl stop "$UNIT" 2>/dev/null || true
  [[ "$APP" == "tesm" ]] && systemctl stop "$MONITOR_UNIT" 2>/dev/null || true
  cp -a "$ROOT" "$BACKUP_DIR"
+  SICHERUNG_STEHT=1
  info "Sicherung: $BACKUP_DIR"
 fi

@@ -295,6 +422,42 @@ install -o root -g root -m 0440 "$TMP_SUDO" "/etc/sudoers.d/$APP"
 rm -f "$TMP_SUDO"
 info "sudoers: $SERVICE_USER darf ausschliesslich tesm-helper als root aufrufen"

+# -- Anmeldebanner (MOTD) ----------------------------------------------------
+# Das Banner liest die Datenbank dieser Installation und laeuft dabei mit dem
+# System-Python, ohne das venv und ohne die Anwendung zu importieren. Der
+# Vorgaenger importierte dafuer die ganze Flask-App -- bei jeder Anmeldung, und
+# nach einem Wechsel des Quellverzeichnisses zeigte er stillschweigend die
+# Zahlen einer Datenbank, die niemand mehr fuellte.
+#
+# "timeout" verhindert, dass ein haengender Dateizugriff die Anmeldung
+# blockiert; "|| true" sorgt dafuer, dass ein Fehler hier den Login nie stoert.
+step "Anmeldebanner"
+if [[ -d /etc/update-motd.d ]]; then
+  install_if_changed "$ROOT/deploy/tesm-motd" /usr/local/lib/tesm/tesm-motd 0755 >/dev/null \
+    && info "Bannerskript aktualisiert" || info "Bannerskript unveraendert"
+  TMP_MOTD="$(mktemp)"
+  {
+    echo "#!/bin/sh"
+    echo "# Von TESM erzeugt ($NAME). Aenderungen werden bei der naechsten"
+    echo "# Installation ueberschrieben."
+    echo "timeout 3 /usr/local/lib/tesm/tesm-motd --app $APP --root $ROOT 2>/dev/null || true"
+  } > "$TMP_MOTD"
+  install -o root -g root -m 0755 "$TMP_MOTD" "/etc/update-motd.d/50-$NAME"
+  rm -f "$TMP_MOTD"
+  info "Banner: /etc/update-motd.d/50-$NAME"
+  # Ein Banner der Vorgaengerfassung zeigt Zahlen aus einer Datenbank, die
+  # niemand mehr fuellt. Er wird nur entfernt, wenn er genau darauf zeigt --
+  # nichts anderes wird angefasst.
+  ALT_MOTD="/etc/update-motd.d/50-tesm"
+  if [[ "$ALT_MOTD" != "/etc/update-motd.d/50-$NAME" && -f "$ALT_MOTD" ]] \
+     && grep -q "motd_banner.py" "$ALT_MOTD" 2>/dev/null; then
+    rm -f "$ALT_MOTD"
+    info "Banner der Vorgaengerfassung entfernt ($ALT_MOTD)"
+  fi
+else
+  info "Kein /etc/update-motd.d -- Banner uebersprungen"
+fi
+
 # -- Rechte ------------------------------------------------------------------
 step "Dateirechte"
 chown -R "$SERVICE_USER:$SERVICE_USER" "$ROOT/data" "$LOG_DIR"
@@ -311,8 +474,8 @@ step "Umgebung"
 # EnvironmentFile, die Kommandozeilenwerkzeuge ueber ihren Wrapper. Ohne das
 # wuesste "tesm-admin" nicht, wo die Instanz liegt, und wuerde sich eine leere
 # Datenbank im Arbeitsverzeichnis anlegen.
-install -d -o root -g root -m 0755 /etc/tesm
-ENV_FILE="/etc/tesm/$NAME.env"
+install -d -o root -g root -m 0755 "$ETC_TESM"
+ENV_FILE="$ETC_TESM/$NAME.env"
 TMP_ENV="$(mktemp)"
 {
  echo "# Von install.sh erzeugt fuer $NAME -- nicht von Hand bearbeiten."
@@ -378,6 +541,11 @@ render_unit "$ROOT/deploy/systemd/$APP.service" "/etc/systemd/system/$UNIT"
 if [[ "$APP" == "tesm" ]]; then
  render_unit "$ROOT/deploy/systemd/tesm-monitor.service" "/etc/systemd/system/$MONITOR_UNIT"
 fi
+# Aufraeumen lief bisher nur von Hand -- also praktisch nie. Auf einer
+# laufenden Installation lagen deshalb hunderte abgelaufene Sitzungszeilen in
+# der Datenbank, und das Aenderungsprotokoll waere nie archiviert worden.
+render_unit "$ROOT/deploy/systemd/$APP-cleanup.service" "/etc/systemd/system/$CLEANUP_UNIT"
+render_unit "$ROOT/deploy/systemd/$APP-cleanup.timer" "/etc/systemd/system/$CLEANUP_TIMER"
 [[ $UNITS_CHANGED -eq 1 ]] && systemctl daemon-reload && info "Units neu geladen" \
  || info "Units unveraendert"

@@ -450,12 +618,18 @@ systemctl enable --now "$UNIT" >/dev/null
 if [[ "$APP" == "tesm" ]]; then
  systemctl enable --now "$MONITOR_UNIT" >/dev/null
 fi
+# Der Timer, nicht der Dienst: der Dienst laeuft einmal und ist fertig.
+systemctl enable --now "$CLEANUP_TIMER" >/dev/null 2>&1 && info "Aufraeumen: taeglich 03:30"   || info "Aufraeum-Timer nicht aktiviert -- 'systemctl status $CLEANUP_TIMER' zeigt warum"

 # -- Health-Check und Rollback ----------------------------------------------
 step "Gesundheitspruefung"
 HEALTHY=0
 for attempt in $(seq 1 20); do
-  if curl -fsS --max-time 3 "http://127.0.0.1:$PORT/gesundheit" >/dev/null 2>&1; then
+  # Beides: der Dienst muss laufen **und** antworten. Nur die Antwort zu
+  # pruefen ging schon einmal schief -- auf einem gemeinsamen Port antwortete
+  # eine andere Instanz, und ein toter Dienst galt als gesund.
+  if systemctl is-active --quiet "$UNIT" &&
+     curl -fsS --max-time 3 "http://127.0.0.1:$PORT/health" >/dev/null 2>&1; then
    HEALTHY=1
    info "Antwort nach ${attempt}x"
    break
@@ -466,13 +640,9 @@ done
 if [[ $HEALTHY -eq 0 ]]; then
  warn "Die Anwendung antwortet nicht."
  if [[ $IS_UPDATE -eq 1 ]]; then
-    warn "Rollback wird ausgefuehrt."
-    systemctl stop "$UNIT" 2>/dev/null || true
-    [[ "$APP" == "tesm" ]] && systemctl stop "$MONITOR_UNIT" 2>/dev/null || true
-    mv "$ROOT" "$FAILED_DIR"
-    cp -a "$BACKUP_DIR" "$ROOT"
-    systemctl start "$UNIT" || true
-    [[ "$APP" == "tesm" ]] && systemctl start "$MONITOR_UNIT" || true
+    # Dieselbe Funktion wie die EXIT-Falle -- zwei Wege, die dasselbe tun
+    # sollen, laufen sonst irgendwann auseinander.
+    zurueckrollen_install
    fail "Aktualisierung fehlgeschlagen. Alter Stand wiederhergestellt.
    Fehlgeschlagene Version : $FAILED_DIR
    Sicherung              : $BACKUP_DIR
@@ -532,12 +702,41 @@ if [[ $HTTPS -eq 1 ]]; then
  fi
 fi

+# -- Lizenzserver einrichten -------------------------------------------------
+# Bei einer Neuinstallation: Signaturschluessel anlegen (braucht jeder
+# Lizenzserver, um Kundenlizenzen zu signieren) und in der Master-Ausgabe
+# gleich die eigene Master-Lizenz. Bei einer Aktualisierung nichts davon --
+# ein bestehender Schluessel darf nie angetastet werden.
+if [[ "$APP" == "tesm-license" && $IS_UPDATE -eq 0 ]]; then
+  step "Signaturschluessel"
+  if sudo -u "$SERVICE_USER" "/usr/local/bin/$NAME-admin" init-key; then
+    info "Bitte die Datei $DATEN_DIR/master_signing_key.json SOFORT sichern."
+  else
+    fail "Der Signaturschluessel liess sich nicht erzeugen. Ohne ihn kann dieser Server
+    keine Lizenz ausstellen. Protokoll: journalctl -u $UNIT -n 50"
+  fi
+
+  if [[ "$EDITION" == "master" ]]; then
+    step "Eigene Master-Lizenz"
+    if [[ -s "$DATEN_DIR/license.json" ]]; then
+      info "Es liegt schon eine Lizenzdatei -- unangetastet."
+    elif sudo -u "$SERVICE_USER" "/usr/local/bin/$NAME-admin" bootstrap; then
+      systemctl restart "$UNIT"
+      info "Dienst neu gestartet, damit die Lizenz gelesen wird."
+    else
+      fail "Die Master-Lizenz liess sich nicht ausstellen.
+    Nachtraeglich: sudo -u $SERVICE_USER $NAME-admin bootstrap"
+    fi
+  fi
+fi
+
 if [[ $IS_UPDATE -eq 1 ]]; then
  rm -rf "$BACKUP_DIR"
  info "Sicherung entfernt (Aktualisierung erfolgreich)"
 fi

 # -- Abschluss ---------------------------------------------------------------
+INSTALL_FERTIG=1
 step "Fertig"
 ADMIN_CMD="tesm-admin"
 [[ "$APP" == "tesm-license" ]] && ADMIN_CMD="tesm-license-admin"
@@ -553,14 +752,24 @@ cat <<SUMMARY
  Naechste Schritte:
 SUMMARY

-if [[ "$APP" == "tesm-license" ]]; then
+if [[ "$APP" == "tesm-license" && "$EDITION" == "master" ]]; then
  cat <<SUMMARY
-    1. Signaturschluessel erzeugen und sofort sichern:
-         sudo -u $SERVICE_USER $NAME-admin init-key
-    2. Eigene Master-Lizenz ausstellen:
-         sudo -u $SERVICE_USER $NAME-admin bootstrap
-    3. Administrator anlegen:
+    1. Administrator anlegen:
         sudo -u $SERVICE_USER $NAME-admin create-admin
+    2. Signaturschluessel sichern -- ohne ihn ist keine ausgestellte Lizenz
+       mehr pruefbar:
+         $ROOT/data/master_signing_key.json
+SUMMARY
+elif [[ "$APP" == "tesm-license" ]]; then
+  cat <<SUMMARY
+    1. Administrator anlegen:
+         sudo -u $SERVICE_USER $NAME-admin create-admin
+    2. Beim Master-Lizenzserver eine Lizenz fuer diesen Server anfordern und
+       unter "Eigene Lizenz" einspielen. Diese Ausgabe ist ein Sub-Lizenzserver
+       und stellt keine eigene Master-Lizenz aus.
+    3. Signaturschluessel sichern -- mit ihm signiert dieser Server seine
+       Kundenlizenzen:
+         $ROOT/data/master_signing_key.json
 SUMMARY
 else
  cat <<SUMMARY
@@ -14,12 +14,21 @@ TAG="${1:?Verwendung: release.sh vX.Y.Z [name]}"
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 REPO_DIR="$(cd "$SCRIPT_DIR/.." && pwd)"

-# Vorgabe: der Name der einzigen Anwendung im Baum, sonst der Verzeichnisname.
+# Vorgabe: der Name des Repositoriums. Genau den erwartet der Bootstrap von
+# update.sh als Anhangsnamen ("$repo-$TAG.tar.gz"). Die Anwendung heisst nicht
+# immer so: im Repositorium tesm-license-master liegt die Anwendung
+# "tesm-license", und ein Anhang unter deren Namen waere nie zu finden.
 if [[ -n "${2:-}" ]]; then
  NAME="$2"
 else
-  mapfile -t APPS < <(ls -1 "$REPO_DIR/apps" 2>/dev/null || true)
-  if [[ ${#APPS[@]} -eq 1 ]]; then NAME="${APPS[0]}"; else NAME="$(basename "$REPO_DIR")"; fi
+  HERKUNFT="$(git -C "$REPO_DIR" config --get remote.origin.url 2>/dev/null || true)"
+  if [[ -n "$HERKUNFT" ]]; then
+    NAME="$(basename "$HERKUNFT" .git)"
+  else
+    # Ohne Gegenseite: die einzige Anwendung im Baum, sonst das Verzeichnis.
+    mapfile -t APPS < <(ls -1 "$REPO_DIR/apps" 2>/dev/null || true)
+    if [[ ${#APPS[@]} -eq 1 ]]; then NAME="${APPS[0]}"; else NAME="$(basename "$REPO_DIR")"; fi
+  fi
 fi

 OUT="$NAME-$TAG.tar.gz"
@@ -0,0 +1,359 @@
+#!/usr/bin/env bash
+# =============================================================================
+# Benennt eine Installation um -- aus einer Instanz wird die Hauptinstallation
+# (oder umgekehrt).
+#
+#     sudo bash deploy/rename.sh --app tesm --from tesm-test --to tesm
+#     sudo bash deploy/rename.sh --app tesm-license --from tesm-license-test \
+#                                --to tesm-license
+#
+# Der Name steckt an mehr Stellen, als man beim Verschieben eines Verzeichnisses
+# erwartet, und drei davon sind leicht zu vergessen:
+#
+#   * ``SITE_KEY`` in der Umgebungsdatei -- daraus entsteht der Name des
+#     Sitzungscookies. Bleibt er alt, heisst das Cookie weiter wie die alte
+#     Instanz.
+#   * ``web_cert_path``/``web_key_path``/``web_acme_webroot`` in der Datenbank.
+#     Sie enthalten den Namen; ein Zertifikat unter dem alten Pfad findet nginx
+#     nach dem Umzug nicht mehr.
+#   * ``server_name`` der nginx-Site. install.sh schreibt die Datei neu, sobald
+#     sich die alias-Pfade aendern -- und die aendern sich hier zwangslaeufig.
+#     Ohne den Namen aus der Datenbank stuenden danach zwei Sites mit ``_`` auf
+#     Port 80 und die erste gewinnt.
+#
+# Belegt der Zielname noch eine Installation der Fassung 1.x, wird sie beiseite
+# geschoben: Verzeichnis nach ``<ziel>-<suffix>``, ihre systemd-Units und ihre
+# nginx-Site als Kopie hinein. Danach ist der Name frei und nichts auf dem
+# System zeigt mehr ins Leere.
+#
+# Alle angemeldeten Benutzer werden abgemeldet: das Sitzungscookie heisst
+# danach anders.
+# =============================================================================
+set -euo pipefail
+
+APP=""
+FROM=""
+TO=""
+SUFFIX="sonnet5"
+ASSUME_YES=0
+DRY_RUN=0
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+
+COLOR_OK=$'\033[32m'; COLOR_WARN=$'\033[33m'; COLOR_ERR=$'\033[31m'; COLOR_OFF=$'\033[0m'
+step()  { printf '\n%s==>%s %s\n' "$COLOR_OK" "$COLOR_OFF" "$*"; }
+warn()  { printf '%s !!%s %s\n' "$COLOR_WARN" "$COLOR_OFF" "$*"; }
+fail()  { printf '%s !!%s %s\n' "$COLOR_ERR" "$COLOR_OFF" "$*" >&2; exit 1; }
+info()  { printf '    %s\n' "$*"; }
+
+usage() {
+  cat <<'USAGE'
+Verwendung: rename.sh --app <tesm|tesm-license> --from <alt> --to <neu> [Optionen]
+
+  --app <name>     Welche Anwendung (Pflicht)
+  --from <name>    Bisheriger Installationsname, z.B. tesm-test (Pflicht)
+  --to <name>      Neuer Installationsname, z.B. tesm (Pflicht)
+  --suffix <text>  Namenszusatz fuer eine beiseite geschobene Installation
+                   der Fassung 1.x (Vorgabe: sonnet5)
+  --dry-run        Nur zeigen, was geschehen wuerde
+  --yes            Keine Rueckfrage
+USAGE
+}
+
+while [[ $# -gt 0 ]]; do
+  case "$1" in
+    --app) APP="${2:?}"; shift 2 ;;
+    --from) FROM="${2:?}"; shift 2 ;;
+    --to) TO="${2:?}"; shift 2 ;;
+    --suffix) SUFFIX="${2:?}"; shift 2 ;;
+    --dry-run) DRY_RUN=1; shift ;;
+    --yes|-y) ASSUME_YES=1; shift ;;
+    -h|--help) usage; exit 0 ;;
+    *) usage; fail "unbekannte Option: $1" ;;
+  esac
+done
+
+[[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || { usage; fail "--app fehlt oder ist unbekannt"; }
+[[ -n "$FROM" && -n "$TO" ]] || { usage; fail "--from und --to sind Pflicht"; }
+[[ "$FROM" != "$TO" ]] || fail "--from und --to sind gleich"
+[[ "$TO" =~ ^[a-z0-9-]{1,32}$ ]] || fail "ungueltiger Zielname: $TO"
+[[ "$TO" == "$APP" || "$TO" == "$APP-"* ]] || fail "der Zielname muss mit '$APP' beginnen"
+[[ "$(id -u)" -eq 0 ]] || fail "bitte mit sudo ausfuehren"
+[[ -f "$SCRIPT_DIR/install.sh" ]] || fail "install.sh fehlt neben diesem Skript"
+[[ -d "/srv/$FROM" ]] || fail "/srv/$FROM gibt es nicht"
+[[ -f "/srv/$FROM/data/app.db" ]] || fail "/srv/$FROM sieht nicht nach einer Installation dieser Fassung aus"
+
+ENV_PREFIX="TESM_"
+[[ "$APP" == "tesm-license" ]] && ENV_PREFIX="TESM_LICENSE_"
+
+# Alles, was den Namen traegt. Reihenfolge: erst Daten, dann Konfiguration.
+VERSCHIEBEN=(
+  "/srv/$FROM:/srv/$TO"
+  "/var/log/$FROM:/var/log/$TO"
+  "/etc/tesm/$FROM.env:/etc/tesm/$TO.env"
+  "/var/www/$FROM-acme:/var/www/$TO-acme"
+  "/etc/tesm/certs/$FROM:/etc/tesm/certs/$TO"
+)
+ENTFERNEN=(
+  "/etc/systemd/system/$FROM.service"
+  "/etc/systemd/system/$FROM-monitor.service"
+  "/etc/nginx/sites-enabled/$FROM"
+  "/etc/nginx/sites-available/$FROM"
+  "/usr/local/bin/$FROM-admin"
+  "/etc/logrotate.d/$FROM"
+  "/etc/update-motd.d/50-$FROM"
+)
+
+# -- Webeinstellungen auslesen, bevor irgendetwas umzieht -------------------- #
+# Mit dem System-Python und der Standardbibliothek: das venv zieht gleich mit
+# um, und ein zusaetzliches Werkzeug (sqlite3) ist auf einem schlanken Server
+# nicht garantiert.
+lese_einstellung() {
+  python3 - "$1" "/srv/$FROM/data/app.db" <<'PY'
+import sqlite3, sys
+schluessel, datenbank = sys.argv[1], sys.argv[2]
+try:
+    conn = sqlite3.connect(f"file:{datenbank}?mode=ro", uri=True)
+    row = conn.execute("SELECT value FROM settings WHERE key=?", (schluessel,)).fetchone()
+    conn.close()
+except sqlite3.Error:
+    row = None
+print((row[0] if row and row[0] is not None else "").strip())
+PY
+}
+
+DOMAIN="$(lese_einstellung web_domain || true)"
+HTTPS_AN="$(lese_einstellung web_https_enabled || true)"
+HSTS_AN="$(lese_einstellung web_hsts_enabled || true)"
+CERT_ALT="$(lese_einstellung web_cert_path || true)"
+
+step "Vorhaben"
+info "Anwendung : $APP"
+info "Alt       : $FROM"
+info "Neu       : $TO"
+info "Domain    : ${DOMAIN:-(keine)}"
+info "HTTPS     : $([[ "$HTTPS_AN" == "1" ]] && echo "ja${CERT_ALT:+, Zertifikat $CERT_ALT}" || echo nein)"
+for paar in "${VERSCHIEBEN[@]}"; do
+  quelle="${paar%%:*}"; ziel="${paar##*:}"
+  [[ -e "$quelle" ]] && info "verschieben: $quelle -> $ziel"
+done
+for pfad in "${ENTFERNEN[@]}"; do
+  [[ -e "$pfad" ]] && info "entfernen  : $pfad (install.sh legt es unter dem neuen Namen neu an)"
+done
+
+# -- Was belegt den Zielnamen? ----------------------------------------------- #
+# Nicht nur das Verzeichnis unter /srv: eine Installation der Fassung 1.x
+# hinterlaesst auch /var/log/<name>, /etc/logrotate.d/<name> und den
+# ACME-Pfad. Der Umzug bricht sonst mitten drin ab -- live genau so passiert.
+BELEGT=()
+for paar in "${VERSCHIEBEN[@]}"; do
+  ziel="${paar##*:}"
+  [[ -e "$ziel" ]] && BELEGT+=("$ziel")
+done
+for weiteres in "/etc/logrotate.d/$TO" "/etc/update-motd.d/50-$TO"; do
+  [[ -e "$weiteres" ]] && BELEGT+=("$weiteres")
+done
+
+BEISEITE=""
+if [[ ${#BELEGT[@]} -gt 0 ]]; then
+  if [[ -f "/srv/$TO/data/app.db" ]]; then
+    fail "/srv/$TO ist bereits eine Installation dieser Fassung. Welche gewinnt, entscheidet niemand automatisch."
+  fi
+  BEISEITE="/srv/$TO-$SUFFIX"
+  if [[ -e "$BEISEITE" ]]; then
+    # Ein vorhandenes Archiv derselben Verdraengung wird weiterbenutzt -- die
+    # Reste einer Installation gehoeren zusammen und nicht in ein zweites
+    # Verzeichnis. Alles andere unter diesem Namen bleibt unangetastet.
+    if [[ -f "$BEISEITE/sqlite.db" || -d "$BEISEITE/systemd-alt" ]]; then
+      info "Archiv $BEISEITE ist vorhanden und wird weiterbenutzt."
+    else
+      fail "$BEISEITE existiert und sieht nicht nach einem solchen Archiv aus -- bitte --suffix waehlen"
+    fi
+  fi
+  info "Der Zielname ist belegt. Alles davon wandert nach $BEISEITE:"
+  for pfad in "${BELEGT[@]}"; do info "  $pfad"; done
+fi
+
+if [[ $DRY_RUN -eq 1 ]]; then
+  step "--dry-run: hier ist Schluss."
+  exit 0
+fi
+if [[ $ASSUME_YES -eq 0 ]]; then
+  read -r -p "Fortfahren? Alle angemeldeten Benutzer werden abgemeldet. [j/N] " answer
+  [[ "$answer" =~ ^[jJyY]$ ]] || { echo "Abgebrochen."; exit 0; }
+fi
+
+# -- 1. Dienste anhalten ----------------------------------------------------- #
+step "Dienste anhalten"
+for unit in "$FROM.service" "$FROM-monitor.service"; do
+  if systemctl list-unit-files "$unit" --no-legend 2>/dev/null | grep -q .; then
+    systemctl disable --now "$unit" >/dev/null 2>&1 || true
+    info "$unit gestoppt und deaktiviert"
+  fi
+done
+
+# -- 2. Zielnamen freimachen ------------------------------------------------- #
+if [[ -n "$BEISEITE" ]]; then
+  step "Zielnamen freimachen"
+  # Alles wandert ins Archiv, nichts wird geloescht: unter /var/log/<name>
+  # liegen Protokolle, unter /srv/<name> im Zweifel eine ganze Installation.
+  # Die Units und die Site kommen mit -- sie zeigen auf das alte Verzeichnis
+  # und waeren auf dem System nur noch Fehlerquellen, im Archiv aber ein Beleg.
+  mkdir -p "$BEISEITE"
+  for pfad in "${BELEGT[@]}"; do
+    ziel="$BEISEITE/$(basename "$pfad")"
+    if [[ "$pfad" == "/srv/$TO" ]]; then
+      # Das Verzeichnis selbst wird das Archiv -- sein Inhalt bleibt, wie er ist.
+      for eintrag in "$pfad"/* "$pfad"/.[!.]*; do
+        [[ -e "$eintrag" ]] || continue
+        mv "$eintrag" "$BEISEITE/"
+      done
+      rmdir "$pfad"
+      info "/srv/$TO -> $BEISEITE/"
+      continue
+    fi
+    if [[ -e "$ziel" ]]; then
+      ziel="$ziel-$(date +%Y%m%d-%H%M%S)"
+      warn "Im Archiv lag schon etwas mit diesem Namen -- ablegen als $(basename "$ziel")"
+    fi
+    mv "$pfad" "$ziel"
+    info "$pfad -> $ziel"
+  done
+  mkdir -p "$BEISEITE/systemd-alt"
+  for unit in "/etc/systemd/system/$TO.service" "/etc/systemd/system/$TO-check.service" \
+              "/etc/systemd/system/$TO-check.timer" "/etc/systemd/system/$TO-check-restart.service" \
+              "/etc/systemd/system/$TO-check-restart.timer"; do
+    [[ -f "$unit" ]] || continue
+    systemctl disable --now "$(basename "$unit")" >/dev/null 2>&1 || true
+    mv "$unit" "$BEISEITE/systemd-alt/"
+    info "$(basename "$unit") archiviert"
+  done
+  for site in "/etc/nginx/sites-enabled/$TO" "/etc/nginx/sites-available/$TO"; do
+    [[ -e "$site" ]] || continue
+    [[ -L "$site" ]] && { rm -f "$site"; continue; }
+    mv "$site" "$BEISEITE/systemd-alt/nginx-site"
+    info "nginx-Site archiviert"
+  done
+  for motd in "/etc/update-motd.d/50-$TO"; do
+    [[ -f "$motd" ]] && grep -q "motd_banner.py" "$motd" 2>/dev/null && rm -f "$motd" \
+      && info "Banner der Fassung 1.x entfernt"
+  done
+  info "Alles Verdraengte liegt unter $BEISEITE"
+fi
+
+# -- 3. Umziehen ------------------------------------------------------------- #
+step "Umziehen"
+for paar in "${VERSCHIEBEN[@]}"; do
+  quelle="${paar%%:*}"; ziel="${paar##*:}"
+  [[ -e "$quelle" ]] || continue
+  [[ -e "$ziel" ]] && fail "$ziel existiert bereits -- Abbruch, damit nichts vermischt wird"
+  mkdir -p "$(dirname "$ziel")"
+  mv "$quelle" "$ziel"
+  info "$quelle -> $ziel"
+done
+
+# -- 4. Namen in den Dateien nachziehen -------------------------------------- #
+step "Namen nachziehen"
+ENV_FILE="/etc/tesm/$TO.env"
+if [[ -f "$ENV_FILE" ]]; then
+  # Der SITE_KEY bestimmt den Namen des Sitzungscookies. Bleibt er alt, heisst
+  # das Cookie weiter wie die alte Instanz -- unauffaellig und falsch.
+  sed -i "s#^${ENV_PREFIX}SITE_KEY=.*#${ENV_PREFIX}SITE_KEY=$TO#" "$ENV_FILE"
+  info "SITE_KEY=$TO"
+fi
+
+# Pfade in der Datenbank, die den Namen enthalten.
+python3 - "$TO" "$FROM" "/srv/$TO/data/app.db" <<'PY'
+import sqlite3, sys
+neu, alt, datenbank = sys.argv[1], sys.argv[2], sys.argv[3]
+schluessel = ("web_cert_path", "web_key_path", "web_acme_webroot")
+try:
+    conn = sqlite3.connect(datenbank, timeout=5.0)
+except sqlite3.Error as fehler:
+    print(f"    Datenbank nicht schreibbar: {fehler}")
+    raise SystemExit(0)
+try:
+    with conn:
+        for key in schluessel:
+            row = conn.execute("SELECT value FROM settings WHERE key=?", (key,)).fetchone()
+            if not row or not row[0]:
+                continue
+            wert = str(row[0])
+            ersetzt = wert.replace(alt, neu)
+            if ersetzt != wert:
+                conn.execute("UPDATE settings SET value=? WHERE key=?", (ersetzt, key))
+                print(f"    {key}: {wert} -> {ersetzt}")
+finally:
+    conn.close()
+PY
+
+# -- 5. Alte Konfiguration entfernen ----------------------------------------- #
+step "Alte Konfiguration entfernen"
+for pfad in "${ENTFERNEN[@]}"; do
+  [[ -e "$pfad" ]] || continue
+  rm -f "$pfad"
+  info "$pfad"
+done
+systemctl daemon-reload
+
+# -- 6. Unter dem neuen Namen einrichten ------------------------------------- #
+# Das venv wird verworfen und neu gebaut. Es ist abgeleiteter Zustand, und
+# seine Konsolenskripte tragen den absoluten Pfad im Shebang: nach dem Umzug
+# zeigt "venv/bin/gunicorn" auf einen Interpreter, den es nicht mehr gibt, und
+# systemd meldet nur "No such file or directory" -- fuer eine Datei, die
+# sichtbar da ist. Live auf POETEST genau so passiert.
+if [[ -d "/srv/$TO/venv" ]]; then
+  step "venv verwerfen (Shebangs tragen den alten Pfad)"
+  rm -rf "/srv/$TO/venv"
+  info "wird von install.sh neu gebaut"
+fi
+
+step "Unter dem neuen Namen einrichten"
+INSTALL_ARGS=(--app "$APP" --yes)
+[[ "$TO" != "$APP" ]] && INSTALL_ARGS+=(--instance "${TO#"$APP"-}")
+bash "$SCRIPT_DIR/install.sh" "${INSTALL_ARGS[@]}"
+
+# -- 7. nginx-Site aus den Einstellungen neu schreiben ----------------------- #
+# install.sh schreibt die Site aus seiner Vorlage, sobald sich die alias-Pfade
+# aendern -- und die aendern sich hier zwangslaeufig. Der Name der Site steht
+# aber in der Datenbank, nicht in der Vorlage. Ohne diesen Schritt stuenden
+# zwei Sites mit "_" auf Port 80 und die erste gewinnt.
+if [[ -n "$DOMAIN" ]]; then
+  step "Webserver-Konfiguration erneuern"
+  # --apply nicht vergessen: ohne ihn speichert web-setup nur die Einstellungen
+  # und laesst die Site-Datei stehen, die install.sh aus seiner Vorlage
+  # geschrieben hat -- mit "server_name _" und ohne TLS.
+  WEB_ARGS=(web-setup --apply --domain "$DOMAIN")
+  if [[ "$HTTPS_AN" == "1" ]]; then
+    WEB_ARGS+=(--https)
+    [[ "$HSTS_AN" == "1" ]] && WEB_ARGS+=(--hsts)
+    # Das Zertifikat ist mitgezogen und sein Pfad in der Datenbank nachgefuehrt
+    # -- "web-setup --https" laesst es dann unangetastet. Ein neues erzeugen
+    # wuerde nur eine weitere Browserwarnung produzieren. Nur wenn nach dem
+    # Umzug wirklich keines da ist, wird eines erzeugt.
+    CERT_NEU="${CERT_ALT//$FROM/$TO}"
+    if [[ -n "$CERT_NEU" && -f "$CERT_NEU" ]]; then
+      info "HTTPS mit dem vorhandenen Zertifikat: $CERT_NEU"
+    else
+      WEB_ARGS+=(--self-signed)
+      warn "Zertifikat nicht gefunden (${CERT_NEU:-keins hinterlegt}) -- es wird ein neues"
+      warn "selbstsigniertes erzeugt. Der Browser warnt dann einmal erneut."
+    fi
+  fi
+  if sudo -u "$APP" "/usr/local/bin/$TO-admin" "${WEB_ARGS[@]}"; then
+    info "Site neu geschrieben: server_name $DOMAIN"
+  else
+    warn "web-setup ist fehlgeschlagen -- bitte in der Anwendung unter"
+    warn "'Verwaltung -> Webserver und TLS' die Domain eintragen und uebernehmen."
+  fi
+fi
+
+# -- 8. Ergebnis ------------------------------------------------------------- #
+step "Fertig"
+info "Verzeichnis : /srv/$TO"
+info "Dienst      : systemctl status $TO.service"
+info "Werkzeug    : $TO-admin"
+info "Aktualisieren: sudo bash /srv/$TO/deploy/update.sh $APP$([[ "$TO" != "$APP" ]] && echo " latest --instance ${TO#"$APP"-}")"
+[[ -n "$BEISEITE" ]] && info "Fassung 1.x : $BEISEITE (Units und Site darin unter systemd-alt/)"
+echo
+warn "Alle Benutzer sind abgemeldet: das Sitzungscookie heisst jetzt anders."
@@ -5,5 +5,11 @@
 #
 # Bewusst KEIN "ALL=(ALL) NOPASSWD: ALL". Der Vorgaenger loeste dasselbe
 # Problem, indem die gesamte Anwendung als root lief.
-Defaults:tesm !requiretty
+#
+# Hier stand "Defaults:tesm !requiretty". Auf Debian und Ubuntu ist
+# requiretty nie gesetzt, die Zeile war also von Anfang an wirkungslos -- und
+# ab sudo 1.9.16 kennt visudo die Einstellung nicht mehr und lehnt die ganze
+# Datei ab ("unknown setting: 'requiretty'"). Auf einem frisch aufgesetzten
+# Server brach die Installation deshalb mitten drin ab. Nicht wieder
+# hinzufuegen; ein Hygienetest haelt das fest.
 tesm ALL=(root) NOPASSWD: /usr/local/lib/tesm/tesm-helper
@@ -5,5 +5,11 @@
 #
 # Bewusst KEIN "ALL=(ALL) NOPASSWD: ALL". Der Vorgaenger loeste dasselbe
 # Problem, indem die gesamte Anwendung als root lief.
-Defaults:tesm-license !requiretty
+#
+# Hier stand "Defaults:tesm-license !requiretty". Auf Debian und Ubuntu ist
+# requiretty nie gesetzt, die Zeile war also von Anfang an wirkungslos -- und
+# ab sudo 1.9.16 kennt visudo die Einstellung nicht mehr und lehnt die ganze
+# Datei ab ("unknown setting: 'requiretty'"). Auf einem frisch aufgesetzten
+# Server brach die Installation deshalb mitten drin ab. Nicht wieder
+# hinzufuegen; ein Hygienetest haelt das fest.
 tesm-license ALL=(root) NOPASSWD: /usr/local/lib/tesm/tesm-helper
@@ -0,0 +1,34 @@
+[Unit]
+Description=TESM -- Aufraeumen: Sitzungen, Ratenereignisse, Protokollarchiv
+After=tesm.service
+# Ohne die laufende Anwendung ist nichts kaputt -- der Befehl arbeitet direkt
+# auf der Datenbank. "After" sorgt nur fuer eine sinnvolle Reihenfolge beim
+# Hochfahren.
+
+[Service]
+Type=oneshot
+User=tesm
+Group=tesm
+WorkingDirectory=/srv/tesm
+Environment=TESM_BASE_DIR=/srv/tesm
+Environment=TESM_DATA_DIR=/srv/tesm/data
+Environment=TESM_LOG_DIR=/var/log/tesm
+Environment=PYTHONUNBUFFERED=1
+ExecStart=/srv/tesm/venv/bin/tesm-admin housekeeping
+
+# Hier darf voll gehaertet werden: dieser Aufruf fasst nur die Datenbank und
+# das Protokollverzeichnis an, keine Systemdateien und keinen Helfer per sudo.
+NoNewPrivileges=yes
+PrivateTmp=yes
+ProtectSystem=strict
+ProtectHome=yes
+ProtectKernelTunables=yes
+ProtectKernelModules=yes
+ProtectControlGroups=yes
+RestrictSUIDSGID=yes
+RestrictNamespaces=yes
+RestrictAddressFamilies=AF_UNIX
+LockPersonality=yes
+SystemCallArchitectures=native
+UMask=0027
+ReadWritePaths=/srv/tesm/data /var/log/tesm
@@ -0,0 +1,18 @@
+[Unit]
+Description=TESM -- taegliches Aufraeumen
+
+[Timer]
+# Nachts, wenn niemand arbeitet: abgelaufene Sitzungen, alte Ratenereignisse
+# und die Archivierung des Aenderungsprotokolls.
+#
+# Vorher lief das nur, wenn jemand "tesm-admin housekeeping" aufrief oder in
+# der Diagnose darauf klickte -- also praktisch nie. Gemessen auf einer
+# Installation nach vier Wochen: 747 Sitzungszeilen, 682 davon abgelaufen.
+OnCalendar=*-*-* 03:30:00
+# Streuung, damit nicht jede Installation im Netz zur selben Sekunde loslegt.
+RandomizedDelaySec=15m
+# Nachgeholt, wenn die Maschine nachts aus war.
+Persistent=true
+
+[Install]
+WantedBy=timers.target
@@ -0,0 +1,34 @@
+[Unit]
+Description=TESM-Lizenzserver -- Aufraeumen: Sitzungen, Ratenereignisse, Protokollarchiv
+After=tesm-license.service
+# Ohne die laufende Anwendung ist nichts kaputt -- der Befehl arbeitet direkt
+# auf der Datenbank. "After" sorgt nur fuer eine sinnvolle Reihenfolge beim
+# Hochfahren.
+
+[Service]
+Type=oneshot
+User=tesm-license
+Group=tesm-license
+WorkingDirectory=/srv/tesm-license
+Environment=TESM_LICENSE_BASE_DIR=/srv/tesm-license
+Environment=TESM_LICENSE_DATA_DIR=/srv/tesm-license/data
+Environment=TESM_LICENSE_LOG_DIR=/var/log/tesm-license
+Environment=PYTHONUNBUFFERED=1
+ExecStart=/srv/tesm-license/venv/bin/tesm-license-admin housekeeping
+
+# Hier darf voll gehaertet werden: dieser Aufruf fasst nur die Datenbank und
+# das Protokollverzeichnis an, keine Systemdateien und keinen Helfer per sudo.
+NoNewPrivileges=yes
+PrivateTmp=yes
+ProtectSystem=strict
+ProtectHome=yes
+ProtectKernelTunables=yes
+ProtectKernelModules=yes
+ProtectControlGroups=yes
+RestrictSUIDSGID=yes
+RestrictNamespaces=yes
+RestrictAddressFamilies=AF_UNIX
+LockPersonality=yes
+SystemCallArchitectures=native
+UMask=0027
+ReadWritePaths=/srv/tesm-license/data /var/log/tesm-license
@@ -0,0 +1,18 @@
+[Unit]
+Description=TESM-Lizenzserver -- taegliches Aufraeumen
+
+[Timer]
+# Nachts, wenn niemand arbeitet: abgelaufene Sitzungen, alte Ratenereignisse
+# und die Archivierung des Aenderungsprotokolls.
+#
+# Vorher lief das nur, wenn jemand "tesm-license-admin housekeeping" aufrief oder in
+# der Diagnose darauf klickte -- also praktisch nie. Gemessen auf einer
+# Installation nach vier Wochen: 747 Sitzungszeilen, 682 davon abgelaufen.
+OnCalendar=*-*-* 03:30:00
+# Streuung, damit nicht jede Installation im Netz zur selben Sekunde loslegt.
+RandomizedDelaySec=15m
+# Nachgeholt, wenn die Maschine nachts aus war.
+Persistent=true
+
+[Install]
+WantedBy=timers.target
@@ -47,7 +47,7 @@ check_in_list() {
 }

 # Name einer Installation auf diesem Host: entweder die Hauptinstallation
-# ("tesm") oder eine benannte Instanz daneben ("tesm-opus"). Mehr als diese
+# ("tesm") oder eine benannte Instanz daneben ("tesm-test"). Mehr als diese
 # beiden Formen gibt es nicht -- so kann keine erfundene Zeichenkette einen
 # Pfad ausserhalb des vorgesehenen Namensraums erzeugen.
 check_app_key() {
@@ -0,0 +1,185 @@
+#!/usr/bin/env python3
+"""Live-Banner fuer die SSH-Anmeldung (MOTD).
+
+Eingebunden ueber ``/etc/update-motd.d/50-<name>``, das ``install.sh``
+erzeugt. Aufruf mit ``--app`` und ``--root``; alles andere steht in der
+Datenbank der Installation.
+
+**Nur Standardbibliothek, kein Flask, kein venv.** Der Vorgaenger importierte
+dafuer die ganze Anwendung -- bei jeder SSH-Anmeldung. Das ist teuer, und es
+faellt aus, sobald das venv nicht mehr passt: nach dem Umstieg auf diese
+Fassung zeigte das alte Banner monatelang eingefrorene Zahlen aus einer
+Datenbank, die niemand mehr fuellte. Hier wird gelesen, was auf der Platte
+liegt, und zwar **nur lesend** (``mode=ro``).
+
+Ein Banner darf eine Anmeldung niemals stoeren: jede Auskunft, die nicht zu
+holen ist, wird zu einem kurzen Hinweis, und am Ende faengt ``main`` alles ab.
+Der Aufrufer setzt zusaetzlich ein Zeitlimit.
+"""
+
+from __future__ import annotations
+
+import argparse
+import sqlite3
+import sys
+import time
+from pathlib import Path
+
+AMBER = "\033[38;2;226;166;60m"
+DIM = "\033[2m"
+BOLD = "\033[1m"
+RESET = "\033[0m"
+
+#: Kea schreibt seine Leases als CSV; die letzte Zeile je Adresse gilt.
+#: Dieselbe Datei liest die Anwendung (``services/kea.py``: ``LEASE_FILE``).
+LEASE_FILE = "/var/lib/kea/kea-leases4.csv"
+
+#: Zeile unter der Wortmarke. Wortlaut wie in der jeweiligen Anwendung
+#: (``AUTH_TAGLINE`` in deren ``__init__.py``) -- ein Hygienetest haelt beides
+#: zusammen.
+TAGLINE = {
+    "tesm": "ÜBERWACHEN · BOOTEN · ANBINDEN",
+    "tesm-license": "LIZENZIEREN",
+}
+
+TITEL = {"tesm": "TimEShepManager", "tesm-license": "Lizenzserver"}
+
+#: Wortgleich mit ``services/monitor.py``: ``DASHBOARD_COUNT_SQL``. Die
+#: Statusuebersicht und dieses Banner sollen nicht zwei Wahrheiten haben; ein
+#: Hygienetest vergleicht die beiden Zeichenketten.
+DASHBOARD_COUNT_SQL = """
+        SELECT
+          COUNT(*) AS total,
+          SUM(CASE WHEN d.is_active=0 THEN 1 ELSE 0 END) AS disabled,
+          SUM(CASE WHEN d.is_active=1 AND COALESCE(st.state,'unknown')='online' THEN 1 ELSE 0 END) AS online,
+          SUM(CASE WHEN d.is_active=1 AND COALESCE(st.state,'unknown')='offline' THEN 1 ELSE 0 END) AS offline,
+          SUM(CASE WHEN d.is_active=1 AND COALESCE(st.state,'unknown')='unknown' THEN 1 ELSE 0 END) AS unknown,
+          SUM(CASE WHEN d.is_active=1 AND st.state='restarting' THEN 1 ELSE 0 END) AS restarting
+        FROM devices d LEFT JOIN device_status st ON st.device_id = d.id
+        WHERE d.deleted_at IS NULL
+        """
+
+
+def _zahl(anzahl: int, singular: str, plural: str) -> str:
+    """Zahl mit passendem Wort. "1 Clients" liest man jeden Tag einmal zu oft."""
+    return f"{BOLD}{anzahl}{RESET} {singular if anzahl == 1 else plural}"
+
+
+def _oeffnen(root: Path) -> sqlite3.Connection:
+    pfad = root / "data" / "app.db"
+    conn = sqlite3.connect(f"file:{pfad.as_posix()}?mode=ro", uri=True, timeout=1.0)
+    conn.row_factory = sqlite3.Row
+    return conn
+
+
+def _flotte(conn: sqlite3.Connection) -> str:
+    row = conn.execute(DASHBOARD_COUNT_SQL).fetchone()
+    online = int(row["online"] or 0)
+    offline = int(row["offline"] or 0)
+    teile = [
+        _zahl(online, "Client online", "Clients online"),
+        f"{BOLD}{offline}{RESET} nicht erreichbar",
+    ]
+    # Nur nennen, wenn es sie gibt: eine Null bei "startet neu" ist keine
+    # Auskunft, sondern Fuellmaterial.
+    restarting = int(row["restarting"] or 0)
+    if restarting:
+        teile.append(_zahl(restarting, "startet neu", "starten neu"))
+    unbekannt = int(row["unknown"] or 0)
+    if unbekannt:
+        teile.append(f"{DIM}{unbekannt} ohne Pruefung{RESET}")
+    return " · ".join(teile)
+
+
+def _dhcp() -> str:
+    """Aktive Leases aus der Kea-CSV. Laeuft als root, braucht keinen Helfer."""
+    datei = Path(LEASE_FILE)
+    if not datei.is_file():
+        return "keine Lease-Datei"
+    try:
+        zeilen = datei.read_text(encoding="utf-8", errors="replace").splitlines()
+    except OSError:
+        return "Lease-Datei nicht lesbar"
+    if len(zeilen) < 2:
+        return "0 Leases aktiv"
+    kopf = [name.strip().strip('"') for name in zeilen[0].split(",")]
+    try:
+        i_adresse = kopf.index("address")
+        i_ablauf = kopf.index("expire")
+        i_zustand = kopf.index("state")
+    except ValueError:
+        return "Lease-Datei mit unerwarteten Spalten"
+
+    jetzt = int(time.time())
+    letzte: dict[str, tuple[int, str]] = {}
+    for zeile in zeilen[1:]:
+        felder = [feld.strip().strip('"') for feld in zeile.split(",")]
+        if len(felder) < len(kopf):
+            continue
+        try:
+            letzte[felder[i_adresse]] = (int(felder[i_ablauf] or 0), felder[i_zustand] or "0")
+        except ValueError:
+            continue
+    aktiv = sum(1 for ablauf, zustand in letzte.values() if zustand == "0" and ablauf > jetzt)
+    return f"{aktiv} {'Lease' if aktiv == 1 else 'Leases'} aktiv"
+
+
+def _lizenzen(conn: sqlite3.Connection) -> str:
+    kunden = int(conn.execute("SELECT COUNT(*) FROM license_customers").fetchone()[0] or 0)
+    lizenzen = int(
+        conn.execute(
+            "SELECT COUNT(*) FROM licenses WHERE status IN ('issued','active')"
+        ).fetchone()[0]
+        or 0
+    )
+    return (
+        _zahl(kunden, "Kunde", "Kunden")
+        + " · "
+        + _zahl(lizenzen, "Lizenz ausgestellt", "Lizenzen ausgestellt")
+    )
+
+
+def main(argv: list[str] | None = None) -> int:
+    parser = argparse.ArgumentParser(prog="tesm-motd", description="Banner fuer die SSH-Anmeldung")
+    parser.add_argument("--app", required=True, choices=sorted(TITEL))
+    parser.add_argument("--root", required=True, help="Verzeichnis der Installation")
+    parser.add_argument("--no-color", action="store_true")
+    args = parser.parse_args(argv)
+
+    if args.no_color:
+        globals().update(AMBER="", DIM="", BOLD="", RESET="")
+
+    root = Path(args.root)
+    # Kein isatty()-Test: dieses Skript schreibt beim Login nicht auf ein
+    # Terminal, sondern ueber run-parts in eine Datei. Der Betrachter ist
+    # trotzdem ein echtes Terminal -- deshalb immer Farbe.
+    print(f"{BOLD}{AMBER}TESM{RESET} · {TITEL[args.app]}")
+    if TAGLINE[args.app]:
+        print(f"{DIM}{TAGLINE[args.app]}{RESET}")
+    print()
+    try:
+        conn = _oeffnen(root)
+    except sqlite3.Error:
+        print(f"{DIM}Datenbank nicht lesbar: {root}{RESET}")
+        print()
+        return 0
+    try:
+        if args.app == "tesm":
+            print(f"{_flotte(conn)} · DHCP: {_dhcp()}")
+        else:
+            print(_lizenzen(conn))
+    except sqlite3.Error as fehler:
+        print(f"{DIM}Zustand nicht verfuegbar ({fehler}){RESET}")
+    finally:
+        conn.close()
+    print()
+    return 0
+
+
+if __name__ == "__main__":
+    try:
+        raise SystemExit(main())
+    except SystemExit:
+        raise
+    except Exception:  # noqa: BLE001 - ein Banner darf keinen Login stoeren
+        sys.exit(0)
@@ -1,89 +1,199 @@
 #!/usr/bin/env bash
 # =============================================================================
-# Bootstrapper: laedt ein Release herunter und ruft dessen install.sh auf.
+# Aktualisierung: laedt das aktuelle Release und ruft dessen install.sh auf.
 # Enthaelt selbst keinerlei Installationslogik.
 #
-# Zwei Fallen des Vorgaengers sind hier bewusst vermieden:
-#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
-#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
-#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Assets.
-#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert -- faengt
-#     denselben Fehler ein zweites Mal ab.
+# Eine einzelne Datei genuegt -- sie holt sich alles Weitere:
+#
+#     curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/update.sh
+#     sudo bash update.sh tesm
+#
+# Auf einer bestehenden Installation liegt sie schon bereit:
+#
+#     sudo bash /srv/tesm/deploy/update.sh tesm
+#
+# Laeuft hier die Master-Ausgabe des Lizenzservers, kommt das Release aus dem
+# privaten Repositorium tesm-license-master -- dafuer braucht es einen
+# Zugriffstoken in TESM_RELEASE_TOKEN oder in /etc/tesm-release.token.
 # =============================================================================
 set -euo pipefail

-# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel
-# unbrauchbar ("bad interpreter"). Die Pruefung darf dabei nicht selbst
-# von einem Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken
-# Server fehlt -- endete sie in "command not found", grep bekam nichts zu
-# sehen, und das Skript machte weiter, als waere alles in Ordnung.
-hat_crlf() {
-  local cr
-  cr="$(printf '\r')"
-  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer Windows-Buildmaschine
-  # aber entscheidend: dort entfernt grep den Wagenruecklauf beim Lesen und
-  # findet deshalb nie einen.
-  LC_ALL=C grep -qU "$cr" "$1"
-}
-
 APP="${1:-}"
 TAG="${2:-latest}"

 # Alles nach dem Tag geht unveraendert an install.sh weiter. Ohne das liesse
 # sich eine benannte Instanz nicht aktualisieren: install.sh leitet den Namen
-# aus "--instance" ab, und ohne den Schalter entstuende neben "tesm-opus" eine
+# aus "--instance" ab, und ohne den Schalter entstuende neben "tesm-test" eine
 # zweite Installation namens "tesm" -- mit eigener Datenbank, eigener
 # nginx-Site und demselben Port.
 shift $(( $# > 2 ? 2 : $# ))
 EXTRA=("$@")
-# Bezugsquelle. Die Vorgaben zeigen dorthin, wo die Releases tatsaechlich
-# liegen -- ein Platzhalter wie "gitea.example.invalid" macht das Skript auf
-# jedem Host unbrauchbar, und genau das war hier der Fall.
-#
-# Das Repository heisst wie die Anwendung; getrennte Repositorien, getrennte
-# Releases. Der Anhang heisst "<repo>-<tag>.tar.gz", siehe unten.
-BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
-OWNER="${TESM_RELEASE_OWNER:-alientim}"

 [[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || {
  echo "Verwendung: update.sh <tesm|tesm-license> [tag] [install.sh-Argumente ...]" >&2
-  echo "Beispiel  : update.sh tesm latest --instance opus" >&2
+  echo "Beispiel  : update.sh tesm latest --instance test" >&2
+  echo "Ohne Rueckfrage: --yes anhaengen (ohne Terminal zwingend)." >&2
  exit 2
 }

-REPO="${TESM_RELEASE_REPO:-$APP}"
-
-WORK="$(mktemp -d /tmp/tesm-update-XXXXXX)"
-trap 'rm -rf "$WORK"' EXIT   # anders als im Vorgaenger wird aufgeraeumt
-
-if [[ "$TAG" == "latest" ]]; then
-  echo "==> Ermittle aktuellen Release-Tag ..."
-  TAG="$(curl -fsS "$BASE/api/v1/repos/$OWNER/$REPO/releases/latest" \
-        | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')"
-  echo "    $TAG"
+# Repositorium: die Master-Ausgabe des Lizenzservers liegt in einem eigenen,
+# privaten Repositorium, heisst als Installation aber weiter "tesm-license".
+# Erkannt wird sie an der Installation und nicht an einem Schalter -- wer
+# aktualisiert, soll nicht erst wissen muessen, welche Ausgabe hier laeuft.
+# Sonst holte der Aufruf die Ausgabe fuer Sub-Lizenzserver, und der Installer
+# muesste sie abweisen.
+REPO="$APP"
+if [[ "$APP" == "tesm-license" ]]; then
+  NAME="$APP"
+  for ((i = 0; i < ${#EXTRA[@]}; i++)); do
+    [[ "${EXTRA[i]}" == "--instance" ]] && NAME="$APP-${EXTRA[i + 1]:-}"
+  done
+  # Die Wurzel ist ueberschreibbar, damit ein Test die Erkennung wirklich
+  # ausfuehren kann und nicht nur den Quelltext liest.
+  if [[ -d "${TESM_SRV_ROOT:-/srv}/$NAME/apps/tesm-license/src/tesm_license/master" ]]; then
+    REPO="tesm-license-master"
+    echo "==> Master-Ausgabe erkannt -- Release aus $REPO."
+  fi
 fi

-ASSET="$REPO-$TAG.tar.gz"
-echo "==> Lade $ASSET ..."
-curl -fsSL -o "$WORK/$ASSET" "$BASE/$OWNER/$REPO/releases/download/$TAG/$ASSET"
+# --8<-- Bootstrap: Release holen --------------------------------------------
+# Wortgleich in update.sh und upgrade.sh; ein Hygienetest vergleicht die beiden
+# Bloecke. Zwei eigenstaendige Skripte koennen sich keine Datei teilen, und
+# beide sollen als **einzelne Datei** genuegen: auf das Zielsystem legen,
+# ausfuehren, fertig -- auf einer 1.2.8 liegt nichts von diesem Projekt.
+#
+# Erwartet: $APP und $TAG, wahlweise $REPO (Vorgabe: $APP). Setzt: $TAG
+# (aufgeloest) und $SRC (entpacktes Release). Raeumt sein Arbeitsverzeichnis
+# beim Beenden auf.
+#
+# $REPO gibt es, weil Installationsname und Repositorium auseinanderfallen
+# koennen: die Master-Ausgabe des Lizenzservers liegt in
+# "tesm-license-master", die Installation heisst weiter "tesm-license".
+#
+# Zwei Fallen des Vorgaengers sind hier vermieden:
+#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
+#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
+#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Anhangs.
+#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert.
+BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
+OWNER="${TESM_RELEASE_OWNER:-alientim}"

-echo "==> Entpacke ..."
-tar -xzf "$WORK/$ASSET" -C "$WORK"
-# Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
-# liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
-# Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
-SRC="$(find "$WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' -printf '%h/..\n' | head -1)"
-[[ -n "$SRC" ]] || { echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2; exit 1; }
-SRC="$(cd "$SRC" && pwd)"
-
-echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
-if hat_crlf "$SRC/deploy/install.sh"; then
-  echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
-  echo "'git -c core.autocrlf=false archive'." >&2
-  exit 1
+# Ein privates Repositorium -- tesm-license-master -- gibt sein Release nur mit
+# Zugriffstoken heraus. Reihenfolge: Umgebungsvariable, dann eine Datei, die
+# der Betreiber selbst anlegt. Der Installer legt sie nie an: ob ein Token auf
+# dem Server liegt, ist keine Entscheidung eines Skripts.
+TOKEN="${TESM_RELEASE_TOKEN:-}"
+if [[ -z "$TOKEN" && -r /etc/tesm-release.token ]]; then
+  TOKEN="$(tr -d '[:space:]' < /etc/tesm-release.token)"
 fi

-read -r -p "Version $TAG fuer $APP${EXTRA[0]+ (${EXTRA[*]})} installieren? [j/N] " answer
-[[ "$answer" =~ ^[jJyY]$ ]] || exit 0
+# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel unbrauchbar
+# ("bad interpreter"). Die Pruefung darf dabei nicht selbst von einem
+# Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken Server fehlt --
+# endete sie in "command not found", grep bekam nichts zu sehen, und das Skript
+# machte weiter, als waere alles in Ordnung.
+hat_crlf() {
+  local cr
+  cr="$(printf '\r')"
+  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer
+  # Windows-Buildmaschine aber entscheidend: dort entfernt grep den
+  # Wagenruecklauf beim Lesen und findet deshalb nie einen.
+  LC_ALL=C grep -qU "$cr" "$1"
+}

-exec sudo bash "$SRC/deploy/install.sh" --app "$APP" --yes ${EXTRA[0]+"${EXTRA[@]}"}
+BOOTSTRAP_WORK=""
+bootstrap_aufraeumen() {
+  # Den Ausstiegscode zuerst festhalten: alles danach ueberschreibt ihn.
+  local code=$?
+  [[ -n "$BOOTSTRAP_WORK" ]] && rm -rf "$BOOTSTRAP_WORK"
+  # Wer einen eigenen Abschluss braucht -- etwa einen Rueckweg nach einem
+  # Fehlschlag --, definiert "beim_beenden". Ein zweiter "trap ... EXIT" waere
+  # der falsche Weg: er wuerde diesen hier ersetzen, und das entpackte Release
+  # bliebe unter /tmp liegen.
+  declare -F beim_beenden >/dev/null 2>&1 && beim_beenden "$code"
+  return "$code"
+}
+trap bootstrap_aufraeumen EXIT
+
+release_holen() {
+  local repo="${TESM_RELEASE_REPO:-${REPO:-$APP}}" asset
+  # Leeres Array und "set -u" vertragen sich nur mit dieser Schreibweise.
+  local -a kopf=()
+  [[ -n "$TOKEN" ]] && kopf=(-H "Authorization: token $TOKEN")
+  for werkzeug in curl tar python3 find; do
+    command -v "$werkzeug" >/dev/null 2>&1 || {
+      echo "Auf diesem System fehlt $werkzeug -- ohne das geht es nicht." >&2
+      return 1
+    }
+  done
+  BOOTSTRAP_WORK="$(mktemp -d /tmp/tesm-release-XXXXXX)"
+
+  if [[ "$TAG" == "latest" ]]; then
+    echo "==> Ermittle aktuellen Release-Tag ..."
+    TAG="$(curl -fsS ${kopf[0]+"${kopf[@]}"} "$BASE/api/v1/repos/$OWNER/$repo/releases/latest" \
+          | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')" || {
+      echo "Kein Release gefunden unter $BASE/$OWNER/$repo." >&2
+      [[ -z "$TOKEN" ]] &&
+        echo "Ist das Repositorium privat? Dann TESM_RELEASE_TOKEN setzen." >&2
+      echo "Andere Quelle: TESM_RELEASE_BASE, TESM_RELEASE_OWNER, TESM_RELEASE_REPO." >&2
+      return 1
+    }
+    echo "    $TAG"
+  fi
+
+  asset="$repo-$TAG.tar.gz"
+  echo "==> Lade $asset ..."
+  curl -fsSL ${kopf[0]+"${kopf[@]}"} -o "$BOOTSTRAP_WORK/$asset" \
+       "$BASE/$OWNER/$repo/releases/download/$TAG/$asset" || {
+    echo "Download fehlgeschlagen: $BASE/$OWNER/$repo/releases/download/$TAG/$asset" >&2
+    return 1
+  }
+
+  echo "==> Entpacke ..."
+  tar -xzf "$BOOTSTRAP_WORK/$asset" -C "$BOOTSTRAP_WORK"
+  # Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
+  # liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
+  # Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
+  SRC="$(find "$BOOTSTRAP_WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' \
+         -printf '%h/..\n' | head -1)"
+  [[ -n "$SRC" ]] || {
+    echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2
+    return 1
+  }
+  SRC="$(cd "$SRC" && pwd)"
+
+  echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
+  if hat_crlf "$SRC/deploy/install.sh"; then
+    echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
+    echo "'git -c core.autocrlf=false archive'." >&2
+    return 1
+  fi
+}
+# --8<-- Ende Bootstrap ------------------------------------------------------
+
+release_holen
+
+# --yes darf auch hier stehen, nicht nur bei install.sh und upgrade.sh. Es
+# bleibt in EXTRA: install.sh bekommt es ohnehin, doppelt schadet nicht.
+OHNE_RUECKFRAGE=0
+for ((i = 0; i < ${#EXTRA[@]}; i++)); do
+  [[ "${EXTRA[i]}" == "--yes" || "${EXTRA[i]}" == "-y" ]] && OHNE_RUECKFRAGE=1
+done
+
+if [[ $OHNE_RUECKFRAGE -eq 1 ]]; then
+  echo "==> Version $TAG wird ohne Rueckfrage installiert."
+elif [[ -t 0 ]]; then
+  read -r -p "Version $TAG fuer $APP${EXTRA[0]+ (${EXTRA[*]})} installieren? [j/N] " answer
+  [[ "$answer" =~ ^[jJyY]$ ]] || exit 0
+else
+  # Ohne Terminal las "read" hier EOF, die Antwort blieb leer, und das Skript
+  # endete mit 0 -- wer es aus einem anderen Skript aufrief, hielt das Update
+  # fuer erledigt. Lieber laut abbrechen.
+  echo "Kein Terminal fuer die Rueckfrage, und --yes fehlt -- es wurde nichts" >&2
+  echo "installiert. Aufruf mit --yes wiederholen." >&2
+  exit 3
+fi
+
+# Kein exec: sonst laeuft die Aufraeumfalle nie, und jedes Update liesse ein
+# entpacktes Release unter /tmp liegen.
+bash "$SRC/deploy/install.sh" --app "$APP" --yes ${EXTRA[0]+"${EXTRA[@]}"}
@@ -2,10 +2,17 @@
 # =============================================================================
 # Upgrade vom Stand SONNET5 (Version 1.x) auf diese Fassung -- mit Datenuebernahme.
 #
-# Aufruf (aus dem entpackten Release-Verzeichnis):
+# Eine einzelne Datei genuegt -- sie holt sich das Release selbst:
+#
+#     curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/upgrade.sh
+#     sudo bash upgrade.sh --app tesm
+#
+# Auf einer 1.2.8 liegt nichts von diesem Projekt; alles andere waere die
+# falsche Voraussetzung. Liegt das Skript in einem entpackten Release, wird
+# dessen install.sh benutzt statt eines Downloads:
+#
 #     sudo bash deploy/upgrade.sh --app tesm
-#     sudo bash deploy/upgrade.sh --app tesm-license
-#     sudo bash deploy/upgrade.sh --app tesm --instance opus --source /srv/tesm
+#     sudo bash deploy/upgrade.sh --app tesm --instance test --source /srv/tesm
 #
 # Der Ablauf ist die Vorgabe und braucht keine Schalter:
 #
@@ -44,6 +51,25 @@ DRY_RUN=0
 WITH_DATA=1
 STOP_OLD=1
 ADOPT_KEY=1
+TAG="latest"
+ROLLBACK=""
+
+#: Steht die Sicherung schon, und ist der Lauf durch? Daran entscheidet
+#: die EXIT-Falle, ob sie zurueckrollt.
+SICHERUNG_STEHT=0
+UPGRADE_FERTIG=0
+#: Namenszusatz, unter dem ``rename.sh`` eine verdraengte Installation der
+#: Fassung 1.x ablegt. Beide Skripte muessen denselben Wert benutzen; ein
+#: Hygienetest vergleicht sie.
+#:
+#: Auf einer echten 1.2.8 gibt es das **nicht** -- dort liegt die Installation
+#: unter ihrem Hauptnamen. Der Zusatz entsteht erst, wenn ``rename.sh`` den
+#: Hauptnamen fuer die neue Fassung braucht. Deshalb ist er der zweite Ort, an
+#: dem gesucht wird, nicht der erste.
+ARCHIV_SUFFIX="sonnet5"
+
+#: Nur fuer die Ausgabe: wurde die Quelle selbst gefunden oder angegeben?
+info_quelle=""
 EXTRA=()

 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
@@ -73,6 +99,12 @@ Verwendung: upgrade.sh --app <tesm|tesm-license> [Optionen]
                       erzeugen, statt den alten zu uebernehmen. Dann muessen
                       alle Kunden den Ausstellerwechsel bestaetigen -- die
                       Vorgabe ist deshalb die Uebernahme.
+  --tag <vX.Y.Z>       Bestimmte Version installieren (Vorgabe: latest).
+                       Wird nur beachtet, wenn das Release geladen wird.
+  --rollback [pfad]    Einen fehlgeschlagenen Lauf zurueckdrehen: die alte
+                       Installation aus der Sicherung wiederherstellen und
+                       ihren Dienst wieder einschalten. Ohne Pfad wird die
+                       neueste Sicherung dieses Namens genommen.
  --dry-run            Nur zeigen, was geschehen wuerde
  --yes                Keine Rueckfrage
  -h, --help           Diese Hilfe
@@ -85,7 +117,7 @@ Beispiele:
  sudo bash deploy/upgrade.sh --app tesm

  # Daneben, zum Vergleich, alte Installation bleibt unangetastet:
-  sudo bash deploy/upgrade.sh --app tesm --instance opus --keep-old-running
+  sudo bash deploy/upgrade.sh --app tesm --instance test --keep-old-running
 USAGE
 }

@@ -99,6 +131,12 @@ while [[ $# -gt 0 ]]; do
    --keep-old-running) STOP_OLD=0; shift ;;
    --new-key) ADOPT_KEY=0; shift ;;
    --adopt-key) ADOPT_KEY=1; shift ;;   # Vorgabe, hier nur zur Deutlichkeit
+    --tag) TAG="${2:?}"; shift 2 ;;
+    --rollback)
+      # Der Pfad ist optional: allein genommen heisst es "die neueste".
+      if [[ -n "${2:-}" && "${2:-}" != --* ]]; then ROLLBACK="$2"; shift 2
+      else ROLLBACK="auto"; shift; fi
+      ;;
    --dry-run) DRY_RUN=1; shift ;;
    --yes|-y) ASSUME_YES=1; shift ;;
    -h|--help) usage; exit 0 ;;
@@ -108,37 +146,364 @@ done

 [[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || { usage; fail "--app fehlt oder ist unbekannt"; }
 [[ "$(id -u)" -eq 0 ]] || fail "bitte mit sudo ausfuehren"
-[[ -f "$SCRIPT_DIR/install.sh" ]] || fail "install.sh fehlt neben diesem Skript"
-
-[[ -n "$SOURCE" ]] || SOURCE="/srv/$APP"
-[[ -d "$SOURCE" ]] || fail "Die alte Installation $SOURCE gibt es nicht (--source setzen)"
-[[ -f "$SOURCE/sqlite.db" ]] || fail "In $SOURCE liegt keine sqlite.db -- das ist keine Installation der Vorgaengerfassung"

 NAME="$APP"
 [[ -n "$INSTANCE" ]] && NAME="$APP-$INSTANCE"
 ADMIN="$NAME-admin"
 NEW_ROOT="/srv/$NAME"
-IN_PLACE=0
-[[ "$(cd "$SOURCE" && pwd)" == "$NEW_ROOT" ]] && IN_PLACE=1
-
 STAMP="$(date +%Y%m%d-%H%M%S)"
 BACKUP="/srv/$NAME-upgrade-$STAMP"
 ALT_KOPIE="$BACKUP/alt"
+SYSTEM_KOPIE="$BACKUP/system"
 EXPORT_ALT="$BACKUP/export-alt.json"
 IMPORT_NEU="$BACKUP/import-neu.json"

 # Alte Einheiten der Vorgaengerfassung. Der Timer gehoert dazu: nur den Dienst
 # zu stoppen liesse ihn beim naechsten Ablauf wieder anlaufen.
-if [[ "$APP" == "tesm" ]]; then
-  ALTE_UNITS=(tesm.service tesm-check.timer tesm-check.service
-              tesm-check-restart.timer tesm-check-restart.service)
-else
-  ALTE_UNITS=(tesm-license.service)
+# -- Rueckweg ---------------------------------------------------------------- #
+# Alles, was install.sh unter demselben Namen ueberschreiben wuerde. Bei einem
+# Upgrade in dasselbe Verzeichnis sind das die Dateien der alten Fassung.
+SYSTEMDATEIEN=(
+  "/etc/systemd/system/$NAME.service"
+  "/etc/systemd/system/$NAME-monitor.service"
+  "/etc/nginx/sites-available/$NAME"
+  "/etc/logrotate.d/$NAME"
+  "/etc/update-motd.d/50-$NAME"
+  "/etc/tesm/$NAME.env"
+)
+
+zurueckrollen() {
+  local sicherung="$1" grund="${2:-}"
+  local alt="$sicherung/alt" system="$sicherung/system"
+  [[ -d "$alt" ]] || fail "In $sicherung fehlt das Verzeichnis 'alt' -- das ist keine Sicherung dieses Skripts."
+
+  # Quelle und Art des Umzugs stehen im Manifest. Aus dem laufenden Aufruf
+  # abzuleiten waere falsch: ein Rueckweg kann Tage spaeter und mit anderen
+  # Schaltern aufgerufen werden -- und beim automatischen Rueckweg steht
+  # IN_PLACE zwar fest, beim spaeteren --rollback aber nicht.
+  local ziel="${SOURCE:-}" gleiches_verzeichnis="${IN_PLACE:-0}" vermerkt
+  if [[ -f "$system/manifest" ]]; then
+    vermerkt="$(awk '$1=="quelle" {print $2}' "$system/manifest" | head -1)"
+    [[ -n "$vermerkt" ]] && ziel="$vermerkt"
+    vermerkt="$(awk '$1=="in-place" {print $2}' "$system/manifest" | head -1)"
+    [[ -n "$vermerkt" ]] && gleiches_verzeichnis="$vermerkt"
+  fi
+  [[ -n "$ziel" ]] || fail "Im Manifest fehlt die Quelle -- bitte --source angeben."
+
+  [[ -n "$grund" ]] && warn "$grund"
+  step "Rueckweg: alten Stand wiederherstellen"
+
+  # Der neue Dienst zuerst -- er haelt sonst Dateien offen, die gleich ersetzt
+  # werden.
+  for unit in "$NAME.service" "$NAME-monitor.service"; do
+    if systemctl list-unit-files "$unit" --no-legend 2>/dev/null | grep -q .; then
+      systemctl disable --now "$unit" >/dev/null 2>&1 || true
+      info "$unit gestoppt"
+    fi
+  done
+
+  # Verzeichnis: nur bei gleichem Ziel -- bei einer eigenen Instanz war die
+  # alte Installation nie angefasst.
+  if [[ "$gleiches_verzeichnis" == "1" ]]; then
+    rm -rf "$ziel"
+    mkdir -p "$ziel"
+    tar -C "$alt" -cf - . | tar -C "$ziel" -xf -
+    info "$ziel aus der Sicherung wiederhergestellt"
+    [[ -d "$ziel/venv" ]] || warn "Im Backup war kein venv -- der alte Dienst braucht dann noch 'python3 -m venv venv' und seine requirements.txt."
+  else
+    info "$ziel war nicht betroffen (eigene Instanz) -- bleibt, wie es ist"
+    if [[ -d "$NEW_ROOT" && "$NEW_ROOT" != "$ziel" ]]; then
+      rm -rf "$NEW_ROOT"
+      info "$NEW_ROOT entfernt"
+    fi
+  fi
+
+  # Systemdateien zurueck, alles andere entfernen, was der Lauf angelegt hat.
+  local site_wieder=0
+  if [[ -f "$system/manifest" ]]; then
+    while read -r zeile; do
+      case "$zeile" in
+        unit-enabled\ *|site-enabled\ *) continue ;;
+      esac
+      local name; name="$(basename "$zeile")"
+      if [[ -e "$system/$name" ]]; then
+        cp -a "$system/$name" "$zeile"
+        info "wiederhergestellt: $zeile"
+        [[ "$zeile" == /etc/nginx/* ]] && site_wieder=1
+      fi
+    done < <(grep -v '^\(unit\|site\)-enabled ' "$system/manifest" || true)
+  fi
+
+  systemctl daemon-reload
+  if [[ $site_wieder -eq 1 ]] || [[ -e "/etc/nginx/sites-enabled/$NAME" ]]; then
+    nginx -t >/dev/null 2>&1 && systemctl reload nginx >/dev/null 2>&1 \
+      && info "nginx neu geladen" || warn "nginx meldet einen Fehler -- bitte 'nginx -t' ansehen"
+  fi
+
+  # Und die Dienste wieder einschalten, die vorher liefen.
+  if [[ -f "$system/manifest" ]]; then
+    while read -r _ unit; do
+      systemctl enable --now "$unit" >/dev/null 2>&1 \
+        && info "$unit wieder eingeschaltet" || warn "$unit liess sich nicht starten"
+    done < <(grep '^unit-enabled ' "$system/manifest" || true)
+  fi
+
+  step "Zurueckgerollt"
+  info "Sicherung bleibt liegen: $sicherung"
+  # Nicht ueber ALTE_UNITS: die Liste entsteht erst nach der Quellensuche, und
+  # bei "--rollback" laeuft diese Funktion vorher. Das Manifest weiss es.
+  local hinweis
+  hinweis="$(awk '$1=="unit-enabled" {print $2; exit}' "$system/manifest" 2>/dev/null || true)"
+  info "Zustand pruefen: systemctl status ${hinweis:-$APP.service}"
+}
+
+# Wird von der EXIT-Falle des Bootstraps aufgerufen -- mit dem Ausstiegscode.
+# Damit gilt der Rueckweg fuer **jeden** Fehlschlag und nicht nur fuer den, an
+# den ich gedacht habe: Export, Uebersetzen, Einspielen, nginx, ein Ctrl-C.
+beim_beenden() {
+  local code="${1:-0}"
+  [[ "$code" == "0" ]] && return 0
+  [[ $UPGRADE_FERTIG -eq 1 ]] && return 0
+  if [[ $SICHERUNG_STEHT -eq 0 ]]; then
+    warn "Abgebrochen (Code $code), bevor eine Sicherung stand -- nichts zurueckzurollen."
+    return 0
+  fi
+  zurueckrollen "$BACKUP" "Abgebrochen (Code $code)."
+}
+
+neueste_sicherung() {
+  local kandidat
+  kandidat="$(ls -1dt /srv/"$NAME"-upgrade-*/ 2>/dev/null | head -1)"
+  [[ -n "$kandidat" ]] || return 1
+  printf '%s' "${kandidat%/}"
+}
+
+if [[ -n "$ROLLBACK" ]]; then
+  if [[ "$ROLLBACK" == "auto" ]]; then
+    ROLLBACK="$(neueste_sicherung)" || fail "Keine Sicherung unter /srv/$NAME-upgrade-* gefunden. Pfad angeben."
+    info "Neueste Sicherung: $ROLLBACK"
+  fi
+  [[ -d "$ROLLBACK" ]] || fail "$ROLLBACK gibt es nicht"
+  if [[ $DRY_RUN -eq 1 ]]; then
+    step "--dry-run: es wuerde $ROLLBACK zurueckgerollt."
+    exit 0
+  fi
+  if [[ $ASSUME_YES -eq 0 ]]; then
+    read -r -p "Stand aus $ROLLBACK wiederherstellen? [j/N] " answer
+    [[ "$answer" =~ ^[jJyY]$ ]] || { echo "Abgebrochen."; exit 0; }
+  fi
+  zurueckrollen "$ROLLBACK"
+  exit 0
 fi

+# Ab hier wird wirklich installiert -- ein Rueckweg hat oben schon
+# beendet. Erst jetzt braucht es ein Release und eine Quelle.
+
+# --8<-- Bootstrap: Release holen --------------------------------------------
+# Wortgleich in update.sh und upgrade.sh; ein Hygienetest vergleicht die beiden
+# Bloecke. Zwei eigenstaendige Skripte koennen sich keine Datei teilen, und
+# beide sollen als **einzelne Datei** genuegen: auf das Zielsystem legen,
+# ausfuehren, fertig -- auf einer 1.2.8 liegt nichts von diesem Projekt.
+#
+# Erwartet: $APP und $TAG, wahlweise $REPO (Vorgabe: $APP). Setzt: $TAG
+# (aufgeloest) und $SRC (entpacktes Release). Raeumt sein Arbeitsverzeichnis
+# beim Beenden auf.
+#
+# $REPO gibt es, weil Installationsname und Repositorium auseinanderfallen
+# koennen: die Master-Ausgabe des Lizenzservers liegt in
+# "tesm-license-master", die Installation heisst weiter "tesm-license".
+#
+# Zwei Fallen des Vorgaengers sind hier vermieden:
+#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
+#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
+#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Anhangs.
+#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert.
+BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
+OWNER="${TESM_RELEASE_OWNER:-alientim}"
+
+# Ein privates Repositorium -- tesm-license-master -- gibt sein Release nur mit
+# Zugriffstoken heraus. Reihenfolge: Umgebungsvariable, dann eine Datei, die
+# der Betreiber selbst anlegt. Der Installer legt sie nie an: ob ein Token auf
+# dem Server liegt, ist keine Entscheidung eines Skripts.
+TOKEN="${TESM_RELEASE_TOKEN:-}"
+if [[ -z "$TOKEN" && -r /etc/tesm-release.token ]]; then
+  TOKEN="$(tr -d '[:space:]' < /etc/tesm-release.token)"
+fi
+
+# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel unbrauchbar
+# ("bad interpreter"). Die Pruefung darf dabei nicht selbst von einem
+# Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken Server fehlt --
+# endete sie in "command not found", grep bekam nichts zu sehen, und das Skript
+# machte weiter, als waere alles in Ordnung.
+hat_crlf() {
+  local cr
+  cr="$(printf '\r')"
+  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer
+  # Windows-Buildmaschine aber entscheidend: dort entfernt grep den
+  # Wagenruecklauf beim Lesen und findet deshalb nie einen.
+  LC_ALL=C grep -qU "$cr" "$1"
+}
+
+BOOTSTRAP_WORK=""
+bootstrap_aufraeumen() {
+  # Den Ausstiegscode zuerst festhalten: alles danach ueberschreibt ihn.
+  local code=$?
+  [[ -n "$BOOTSTRAP_WORK" ]] && rm -rf "$BOOTSTRAP_WORK"
+  # Wer einen eigenen Abschluss braucht -- etwa einen Rueckweg nach einem
+  # Fehlschlag --, definiert "beim_beenden". Ein zweiter "trap ... EXIT" waere
+  # der falsche Weg: er wuerde diesen hier ersetzen, und das entpackte Release
+  # bliebe unter /tmp liegen.
+  declare -F beim_beenden >/dev/null 2>&1 && beim_beenden "$code"
+  return "$code"
+}
+trap bootstrap_aufraeumen EXIT
+
+release_holen() {
+  local repo="${TESM_RELEASE_REPO:-${REPO:-$APP}}" asset
+  # Leeres Array und "set -u" vertragen sich nur mit dieser Schreibweise.
+  local -a kopf=()
+  [[ -n "$TOKEN" ]] && kopf=(-H "Authorization: token $TOKEN")
+  for werkzeug in curl tar python3 find; do
+    command -v "$werkzeug" >/dev/null 2>&1 || {
+      echo "Auf diesem System fehlt $werkzeug -- ohne das geht es nicht." >&2
+      return 1
+    }
+  done
+  BOOTSTRAP_WORK="$(mktemp -d /tmp/tesm-release-XXXXXX)"
+
+  if [[ "$TAG" == "latest" ]]; then
+    echo "==> Ermittle aktuellen Release-Tag ..."
+    TAG="$(curl -fsS ${kopf[0]+"${kopf[@]}"} "$BASE/api/v1/repos/$OWNER/$repo/releases/latest" \
+          | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')" || {
+      echo "Kein Release gefunden unter $BASE/$OWNER/$repo." >&2
+      [[ -z "$TOKEN" ]] &&
+        echo "Ist das Repositorium privat? Dann TESM_RELEASE_TOKEN setzen." >&2
+      echo "Andere Quelle: TESM_RELEASE_BASE, TESM_RELEASE_OWNER, TESM_RELEASE_REPO." >&2
+      return 1
+    }
+    echo "    $TAG"
+  fi
+
+  asset="$repo-$TAG.tar.gz"
+  echo "==> Lade $asset ..."
+  curl -fsSL ${kopf[0]+"${kopf[@]}"} -o "$BOOTSTRAP_WORK/$asset" \
+       "$BASE/$OWNER/$repo/releases/download/$TAG/$asset" || {
+    echo "Download fehlgeschlagen: $BASE/$OWNER/$repo/releases/download/$TAG/$asset" >&2
+    return 1
+  }
+
+  echo "==> Entpacke ..."
+  tar -xzf "$BOOTSTRAP_WORK/$asset" -C "$BOOTSTRAP_WORK"
+  # Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
+  # liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
+  # Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
+  SRC="$(find "$BOOTSTRAP_WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' \
+         -printf '%h/..\n' | head -1)"
+  [[ -n "$SRC" ]] || {
+    echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2
+    return 1
+  }
+  SRC="$(cd "$SRC" && pwd)"
+
+  echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
+  if hat_crlf "$SRC/deploy/install.sh"; then
+    echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
+    echo "'git -c core.autocrlf=false archive'." >&2
+    return 1
+  fi
+}
+# --8<-- Ende Bootstrap ------------------------------------------------------
+
+# Woher kommt install.sh? Liegt dieses Skript in einem entpackten Release,
+# nimm dessen Verzeichnis -- wer ein Paket ausgepackt hat, will nicht, dass
+# ungefragt ein anderes geladen wird. Sonst hol das Release.
+if [[ -f "$SCRIPT_DIR/install.sh" ]]; then
+  SRC="$REPO_DIR"
+  RELEASE_HERKUNFT="$SRC (entpacktes Release neben diesem Skript)"
+else
+  release_holen || fail "Das Release liess sich nicht holen."
+  RELEASE_HERKUNFT="$TAG von $BASE/$OWNER"
+fi
+
+# -- Wo liegt die alte Fassung? ---------------------------------------------- #
+# Zwei Orte kommen in Frage, und der zweite ist der Grund fuer diesen Block:
+# ``rename.sh`` schiebt eine Installation der Fassung 1.x nach
+# ``/srv/<app>-sonnet5``, sobald der Hauptname fuer die neue gebraucht wird.
+# Danach liegt unter ``/srv/<app>`` die **laufende** Installation, und die
+# Vorgabe zeigte ins Leere. Erkannt wird an ``sqlite.db`` im Wurzelverzeichnis
+# -- die neue Fassung legt ihre Datenbank unter ``data/app.db`` ab.
+ist_alte_fassung() { [[ -f "$1/sqlite.db" ]]; }
+
+if [[ -z "$SOURCE" ]]; then
+  for kandidat in "/srv/$APP" "/srv/$APP-$ARCHIV_SUFFIX"; do
+    if ist_alte_fassung "$kandidat"; then SOURCE="$kandidat"; break; fi
+  done
+  if [[ -z "$SOURCE" ]]; then
+    warn "Keine Installation der Fassung 1.x gefunden. Gesucht wurde in:"
+    warn "  /srv/$APP                 (dort liegt sie normalerweise)"
+    warn "  /srv/$APP-$ARCHIV_SUFFIX  (dorthin verschiebt rename.sh sie, falls"
+    warn "                             der Hauptname schon vergeben war)"
+    [[ -f "/srv/$APP/data/app.db" ]] && warn "Unter /srv/$APP liegt die laufende Installation dieser Fassung."
+    fail "Bitte --source setzen."
+  fi
+  info_quelle="gefunden: $SOURCE"
+fi
+[[ -d "$SOURCE" ]] || fail "Die alte Installation $SOURCE gibt es nicht (--source setzen)"
+ist_alte_fassung "$SOURCE" || fail "In $SOURCE liegt keine sqlite.db -- das ist keine Installation der Vorgaengerfassung"
+
+IN_PLACE=0
+[[ "$(cd "$SOURCE" && pwd)" == "$NEW_ROOT" ]] && IN_PLACE=1
+
+# Die Units der alten Fassung erkennt man daran, dass sie in genau dieses
+# Verzeichnis zeigen -- nicht am Namen der Anwendung. Nach einem rename.sh
+# heisst die *laufende* Installation "tesm", und eine Namensliste haette sie
+# gestoppt und deaktiviert, sobald jemand die archivierte 1.x in eine eigene
+# Instanz hochzieht.
+#
+# Timer und Hilfsdienste tragen keinen Pfad (der Restart-Timer ruft nur
+# "systemctl restart ..."). Sie kommen ueber den Namen der gefundenen Unit mit.
+alte_units_finden() {
+  local quelle="$1" gefunden=() datei name runde
+  shopt -s nullglob
+  for datei in /etc/systemd/system/*.service; do
+    grep -qs -- "$quelle/" "$datei" && gefunden+=("$(basename "$datei")")
+  done
+  # Zwei Runden: erst Timer und Helfer, die eine gefundene Unit nennen, dann
+  # noch einmal fuer deren eigene Timer.
+  for runde in 1 2; do
+    for datei in /etc/systemd/system/*.service /etc/systemd/system/*.timer; do
+      name="$(basename "$datei")"
+      [[ " ${gefunden[*]-} " == *" $name "* ]] && continue
+      for treffer in ${gefunden[*]-}; do
+        if grep -qs -- "$treffer" "$datei"; then gefunden+=("$name"); break; fi
+      done
+    done
+  done
+  shopt -u nullglob
+  printf '%s\n' ${gefunden[*]-}
+}
+
+mapfile -t ALTE_UNITS < <(alte_units_finden "$SOURCE")
+if [[ ${#ALTE_UNITS[@]} -eq 0 ]]; then
+  if [[ "$SOURCE" == "/srv/$APP" ]]; then
+    # Kein Fund, aber die Quelle ist der Hauptpfad: die historischen Namen der
+    # Fassung 1.x als Rueckfall.
+    if [[ "$APP" == "tesm" ]]; then
+      ALTE_UNITS=(tesm.service tesm-check.timer tesm-check.service
+                  tesm-check-restart.timer tesm-check-restart.service)
+    else
+      ALTE_UNITS=(tesm-license.service)
+    fi
+  else
+    ALTE_UNITS=()
+  fi
+fi
+
+
 step "Vorhaben"
 info "Anwendung      : $APP${INSTANCE:+ (Instanz $INSTANCE)}"
-info "Alt            : $SOURCE"
+info "Neue Fassung   : $RELEASE_HERKUNFT"
+info "Alt            : $SOURCE${info_quelle:+  (automatisch gefunden)}"
 info "Neu            : $NEW_ROOT$([[ $IN_PLACE -eq 1 ]] && echo '  << dasselbe Verzeichnis')"
 info "Sicherung      : $ALT_KOPIE"
 info "Datenuebernahme: $([[ $WITH_DATA -eq 1 ]] && echo ja || echo nein)"
@@ -160,15 +525,45 @@ fi

 # -- 1. Sichern -------------------------------------------------------------- #
 step "Sichern"
-mkdir -p "$ALT_KOPIE"
+mkdir -p "$ALT_KOPIE" "$SYSTEM_KOPIE"
 chmod 700 "$BACKUP"
-# -a: Rechte und Zeiten bleiben, damit die Kopie auch als Rueckweg taugt.
-# Das venv der alten Installation bleibt aussen vor -- es ist nachbaubar,
-# gross, und seine Shebangs zeigen ohnehin auf den alten Pfad.
-tar -C "$SOURCE" --exclude=venv --exclude=__pycache__ -cf - . | tar -C "$ALT_KOPIE" -xf -
-info "$(du -sh "$ALT_KOPIE" | cut -f1) kopiert (ohne venv)"
+
+# Das venv kommt nur mit, wenn in dasselbe Verzeichnis installiert wird -- dort
+# ersetzt install.sh es, und ohne das alte startet der alte Dienst nach einem
+# Rueckweg nicht mehr. Bei einer eigenen Instanz bleibt die alte Installation
+# unangetastet, dann waere es nur Ballast (und seine Shebangs zeigen auf einen
+# anderen Pfad).
+if [[ $IN_PLACE -eq 1 ]]; then
+  tar -C "$SOURCE" --exclude=__pycache__ -cf - . | tar -C "$ALT_KOPIE" -xf -
+  info "$(du -sh "$ALT_KOPIE" | cut -f1) kopiert (mit venv, weil dasselbe Verzeichnis)"
+else
+  tar -C "$SOURCE" --exclude=venv --exclude=__pycache__ -cf - . | tar -C "$ALT_KOPIE" -xf -
+  info "$(du -sh "$ALT_KOPIE" | cut -f1) kopiert (ohne venv)"
+fi
 [[ -f "$ALT_KOPIE/sqlite.db" ]] || fail "In der Kopie fehlt die Datenbank -- Abbruch"

+# Und die Systemdateien: bei gleichem Verzeichnis schreibt install.sh Unit,
+# nginx-Site, logrotate und Banner neu. Ohne Kopie liesse sich der alte Stand
+# nicht wiederherstellen -- das Verzeichnis allein genuegt nicht.
+: > "$SYSTEM_KOPIE/manifest"
+# Woher kam der Stand, und ging es in dasselbe Verzeichnis? Ein spaeterer
+# Rueckweg darf das nicht raten muessen -- er laeuft womoeglich Tage danach
+# und mit anderen Schaltern.
+printf 'quelle %s\n' "$SOURCE" >> "$SYSTEM_KOPIE/manifest"
+printf 'in-place %s\n' "$IN_PLACE" >> "$SYSTEM_KOPIE/manifest"
+for pfad in "${SYSTEMDATEIEN[@]}"; do
+  [[ -e "$pfad" ]] || continue
+  cp -a "$pfad" "$SYSTEM_KOPIE/$(basename "$pfad")"
+  printf '%s\n' "$pfad" >> "$SYSTEM_KOPIE/manifest"
+done
+# Welche Units liefen, und war die Site eingeschaltet?
+for unit in "${ALTE_UNITS[@]}"; do
+  systemctl is-enabled "$unit" >/dev/null 2>&1 && printf 'unit-enabled %s\n' "$unit" >> "$SYSTEM_KOPIE/manifest"
+done
+[[ -L "/etc/nginx/sites-enabled/$NAME" ]] && printf 'site-enabled %s\n' "$NAME" >> "$SYSTEM_KOPIE/manifest"
+info "$(grep -c . "$SYSTEM_KOPIE/manifest") Systemdatei(en) und Zustaende vermerkt"
+SICHERUNG_STEHT=1
+
 # -- 2. Altes System abschalten ---------------------------------------------- #
 if [[ $STOP_OLD -eq 1 ]]; then
  step "Altes System abschalten"
@@ -186,9 +581,12 @@ fi
 step "Neu installieren"
 INSTALL_ARGS=(--app "$APP" --yes)
 [[ -n "$INSTANCE" ]] && INSTALL_ARGS+=(--instance "$INSTANCE")
-bash "$SCRIPT_DIR/install.sh" "${INSTALL_ARGS[@]}" ${EXTRA[0]+"${EXTRA[@]}"}
+# Kein eigener Fehlerzweig mehr: die EXIT-Falle rollt bei jedem Fehlschlag
+# zurueck -- hier, beim Export, beim Einspielen oder bei einem Ctrl-C.
+bash "$SRC/deploy/install.sh" "${INSTALL_ARGS[@]}" ${EXTRA[0]+"${EXTRA[@]}"}

 if [[ $WITH_DATA -eq 0 ]]; then
+  UPGRADE_FERTIG=1
  step "Fertig -- ohne Datenuebernahme"
  info "Sicherung der alten Installation: $ALT_KOPIE"
  exit 0
@@ -240,6 +638,7 @@ else
 fi

 # -- Abschluss --------------------------------------------------------------- #
+UPGRADE_FERTIG=1
 step "Fertig"
 info "Sicherung der alten Installation : $ALT_KOPIE"
 if [[ "$APP" == "tesm" ]]; then
@@ -105,19 +105,26 @@ Eine bereits eingerichtete HTTPS-Konfiguration bleibt erhalten, auch ohne

 ### Ohne Quellbaum: `update.sh`

-Liegt kein entpacktes Release vor, holt `update.sh` es selbst -- es lädt das
-Release-Asset, entpackt es und ruft dessen `install.sh` auf:
+`update.sh` genügt als **einzelne Datei**. Auf einem System, auf dem noch nichts
+von diesem Projekt liegt:

 ```bash
-sudo bash /opt/tesm/deploy/update.sh tesm
-sudo bash /opt/tesm-license/deploy/update.sh tesm-license
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/update.sh
+sudo bash update.sh tesm
+```
+
+Auf einer bestehenden Installation liegt sie schon bereit:
+
+```bash
+sudo bash /srv/tesm/deploy/update.sh tesm
+sudo bash /srv/tesm-license/deploy/update.sh tesm-license
 ```

 Alles nach dem Tag geht unverändert an `install.sh` weiter -- das ist der Weg,
 eine **benannte Instanz** zu aktualisieren:

 ```bash
-sudo bash /opt/tesm-opus/deploy/update.sh tesm latest --instance opus
+sudo bash /srv/tesm/deploy/update.sh tesm
 ```

 Ohne `--instance` entstünde daneben eine zweite Installation namens `tesm`, mit
@@ -147,11 +154,51 @@ Ein eigenes Skript, weil dabei mehr passiert als ein Dateiabgleich: die alte
 Fassung hat ein anderes Schema, andere Rechteschlüssel und ein anderes
 Exportformat.

+Auch `upgrade.sh` genügt als **einzelne Datei** -- und das ist hier der
+Regelfall: auf einer 1.2.8 liegt nichts von dieser Fassung.
+
+```bash
+curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/deploy/upgrade.sh
+sudo bash upgrade.sh --app tesm
+```
+
+Sie lädt das aktuelle Release, entpackt es und benutzt dessen `install.sh`.
+Liegt das Skript in einem entpackten Release, wird dieses benutzt statt eines
+Downloads -- wer ein Paket ausgepackt hat, will nicht, dass ungefragt ein
+anderes geladen wird:
+
 ```bash
 sudo bash deploy/upgrade.sh --app tesm
 sudo bash deploy/upgrade.sh --app tesm-license
 ```

+Eine bestimmte Version statt `latest`: `--tag v2.0.8`.
+
+**Wenn etwas schiefgeht.** Schlägt `install.sh` fehl, dreht `upgrade.sh` den
+Lauf selbst zurück: der neue Dienst wird gestoppt, das Verzeichnis aus der
+Sicherung wiederhergestellt und der alte Dienst wieder eingeschaltet. Das
+Verzeichnis allein genügt dafür nicht -- bei einem Upgrade in dasselbe
+Verzeichnis schreibt `install.sh` auch systemd-Unit, nginx-Site, logrotate und
+Banner neu und ersetzt das venv. Die Sicherung enthält deshalb alles davon,
+und ein Manifest hält fest, woher der Stand kam.
+
+Später von Hand zurückdrehen, etwa nach einem Lauf, der durchlief aber nicht
+gefallen hat:
+
+```bash
+sudo bash upgrade.sh --app tesm --rollback              # neueste Sicherung
+sudo bash upgrade.sh --app tesm --rollback /srv/tesm-upgrade-20260908-225428
+```
+
+Die Sicherung bleibt danach liegen; gelöscht wird nichts.
+
+Ohne `--source` wird die alte Fassung an zwei Stellen gesucht: unter
+`/srv/<app>` und unter `/srv/<app>-sonnet5`. Der zweite Ort ist der, an den
+`rename.sh` sie verschiebt, sobald der Hauptname für die neue Installation
+gebraucht wird -- danach liegt unter `/srv/<app>` die **laufende** Installation.
+Erkannt wird eine 1.x an der `sqlite.db` im Wurzelverzeichnis; die neue Fassung
+legt ihre Datenbank unter `data/app.db` ab.
+
 Der Ablauf ist die Vorgabe und braucht keine Schalter:

 | | |
@@ -177,7 +224,7 @@ Export des Vorgängers und taugt deshalb auch als Rückweg.
 und die alte bleibt vollständig liegen:

 ```bash
-sudo bash deploy/upgrade.sh --app tesm --instance opus      --keep-old-running --port 5100 --http-port 8080
+sudo bash deploy/upgrade.sh --app tesm --instance test      --keep-old-running --port 5100 --http-port 8080
 ```

 **Was nicht mitkommt** -- und warum:
@@ -251,6 +298,83 @@ würde). Der ACME-Pfad bleibt auch bei aktiver Umleitung erreichbar.

 ---

+## 4a. Anmeldebanner (MOTD)
+
+`install.sh` legt `/etc/update-motd.d/50-<name>` an. Bei jeder SSH-Anmeldung
+steht dann der Zustand der Installation im Login-Banner:
+
+```
+TESM · TimEShepManager
+UEBERWACHEN · BOOTEN · ANBINDEN (DHCP) · BETRIEBSSYSTEM GEBEN (PXE)
+
+3 Clients online · 0 nicht erreichbar · DHCP: 2 Leases aktiv
+```
+
+Das Skript liegt unter `/usr/local/lib/tesm/tesm-motd` und benutzt **nur die
+Standardbibliothek**: kein venv, kein Import der Anwendung, die Datenbank wird
+nur lesend geöffnet. Ein Lauf dauert Millisekunden. Der Vorgänger importierte
+dafür die ganze Flask-Anwendung -- bei jeder Anmeldung, und nach einem Wechsel
+des Quellverzeichnisses zeigte er stillschweigend die Zahlen einer Datenbank,
+die niemand mehr füllte.
+
+Von Hand prüfen:
+
+```bash
+sudo /usr/local/lib/tesm/tesm-motd --app tesm --root /srv/tesm-test
+```
+
+Der Aufruf im Banner ist mit `timeout 3` und `|| true` abgesichert: ein
+hängender oder fehlschlagender Bannerlauf darf eine Anmeldung nie blockieren.
+Ein Banner der Vorgängerfassung (`50-tesm`, das `motd_banner.py` aufruft) wird
+entfernt -- nur dieses, nichts anderes in dem Verzeichnis.
+
+---
+
+## 4b. Installation umbenennen
+
+Aus einer Instanz die Hauptinstallation machen (oder umgekehrt):
+
+```bash
+sudo bash deploy/rename.sh --app tesm --from tesm-test --to tesm
+sudo bash deploy/rename.sh --app tesm-license --from tesm-license-test --to tesm-license
+```
+
+Der Name steckt an mehr Stellen als im Verzeichnisnamen, und drei davon sind
+leicht zu übersehen:
+
+* **`SITE_KEY`** in der Umgebungsdatei -- daraus entsteht der Name des
+  Sitzungscookies. Bleibt er alt, heisst das Cookie weiter wie die alte
+  Instanz.
+* **`web_cert_path`, `web_key_path`, `web_acme_webroot`** in der Datenbank. Sie
+  enthalten den Namen; ein Zertifikat unter dem alten Pfad findet nginx nach
+  dem Umzug nicht mehr.
+* **`server_name`** der nginx-Site. `install.sh` schreibt die Datei aus seiner
+  Vorlage neu, sobald sich die `alias`-Pfade ändern -- und die ändern sich hier
+  zwangsläufig. Ohne den Namen aus der Datenbank stünden danach zwei Sites mit
+  `server_name _` auf Port 80, und die erste gewinnt.
+
+Ausserdem wird das **venv verworfen und neu gebaut**: seine Konsolenskripte
+tragen den absoluten Pfad im Shebang, und nach dem Umzug zeigt
+`venv/bin/gunicorn` auf einen Interpreter, den es nicht mehr gibt. systemd
+meldet dann `No such file or directory` -- für eine Datei, die sichtbar da ist.
+
+Belegt der Zielname noch eine Installation der Fassung 1.x, wandert **alles**,
+was ihn belegt, in ein Archiv `/srv/<ziel>-sonnet5`: das Verzeichnis, die
+Protokolle unter `/var/log/<ziel>`, der ACME-Pfad, die logrotate-Datei, und die
+systemd-Units samt nginx-Site unter `systemd-alt/`. Gelöscht wird nichts.
+
+Ports und HTTPS bleiben, wie sie waren; ein vorhandenes Zertifikat zieht mit
+und wird weiterverwendet. **Alle angemeldeten Benutzer werden abgemeldet** --
+das Sitzungscookie heisst danach anders.
+
+Danach ist auch das Aktualisieren einfacher, weil der Instanzname wegfällt:
+
+```bash
+sudo bash /srv/tesm/deploy/update.sh tesm
+```
+
+---
+
 ## 5. Dienste

 ```bash
@@ -322,7 +446,7 @@ Unverzichtbar:
 **Die Anwendung antwortet nicht.**
 ```bash
 journalctl -u tesm -n 200 --no-pager
-curl -s http://127.0.0.1:5000/gesundheit
+curl -s http://127.0.0.1:5000/health
 ```
 Antwortet gunicorn, aber der Browser nicht, liegt es an nginx.

@@ -11,6 +11,7 @@ Was geschützt wird, womit, und wo bewusst Grenzen gezogen sind.
 | Speicherung | Argon2id (argon2-cffi) |
 | Altbestand | bcrypt wird noch geprüft und bei der nächsten erfolgreichen Anmeldung stillschweigend auf Argon2id umgestellt |
 | Zweiter Faktor | TOTP, optional erzwingbar für Administratoren |
+| Rechte | Eine Zeile je Funktion; das Administratorkennzeichen gibt den Verwaltungsbereich, nicht alles |
 | Sperre je Konto | nach `LOGIN_MAX_ATTEMPTS` Versuchen |
 | Sperre je Adresse | zusätzlich `LOGIN_MAX_ATTEMPTS_PER_IP` -- sonst lässt sich die Kontosperre umgehen, indem man viele Konten je einmal probiert |
 | Verzeichnisdienst | LDAP nur über TLS, Zertifikat wird geprüft. Ohne gültiges Zertifikat keine Anmeldung -- kein Schalter, der das abschaltet |
@@ -171,6 +172,10 @@ braucht der Dienst kein `--workers 1` mehr.
 * **Kein CSRF-Freibrief für cookie-autorisierte Routen.**
 * **Kein `unsafe-inline` für Skripte**, auch nicht "vorübergehend".
 * **Keine Rechteausweitung**, auch nicht für Administratoren untereinander.
+  Ein echter Administrator darf sich Funktionsrechte über eine Gruppe geben --
+  das ist gewollt und hinterlässt eine Zeile im Änderungsprotokoll. Was es
+  nicht gibt, ist der stille Weg: ein Kennzeichen, das ohne Eintrag alles
+  aufschließt.
 * **Kein Hostname im Lizenz-Fingerabdruck** -- Umbenennen darf die Bindung
  nicht brechen.
 * **Keine von Hand gepflegte nginx-Site.** Sie wird immer neu erzeugt.
@@ -0,0 +1,181 @@
+#!/usr/bin/env bash
+# =============================================================================
+# Installation -- der kurze Weg.
+#
+# Diese Datei liegt oben im Paket und ruft den Installer unter deploy/ auf:
+#
+#     tar xzf tesm-vX.Y.Z.tar.gz && cd tesm
+#     sudo bash install.sh --app tesm --https
+#
+# Sie genuegt aber auch **allein**: liegt kein Paket um sie herum, holt sie
+# sich das aktuelle Release selbst.
+#
+#     curl -fsSLO https://gitea.int.eertmoed.net/alientim/tesm/raw/branch/main/install.sh
+#     sudo bash install.sh --app tesm --https
+#
+# Die Master-Ausgabe des Lizenzservers liegt im privaten Repositorium
+# tesm-license-master. Allein-Betrieb dafuer:
+#
+#     export TESM_RELEASE_REPO=tesm-license-master
+#     export TESM_RELEASE_TOKEN=<Gitea-Token>
+#     sudo -E bash install.sh --app tesm-license --https
+#
+# Aus einem entpackten Paket braucht es das nicht: dort entscheidet, welches
+# Paket es ist. Die Master-Ausgabe legt beim Installieren Signaturschluessel
+# und eigene Master-Lizenz selbst an.
+#
+# Alle Argumente gehen unveraendert an deploy/install.sh weiter; dessen Hilfe:
+#
+#     bash install.sh --help
+# =============================================================================
+set -euo pipefail
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+
+# --app wird nur gelesen, nicht verbraucht: der Bootstrap braucht es fuer den
+# Namen des Repositoriums, der Installer bekommt die Argumente unveraendert.
+APP=""
+TAG="latest"
+ARGUMENTE=("$@")
+for ((i = 0; i < $#; i++)); do
+  case "${ARGUMENTE[i]}" in
+    --app) APP="${ARGUMENTE[i + 1]:-}" ;;
+    --tag) TAG="${ARGUMENTE[i + 1]:-latest}" ;;
+  esac
+done
+
+# Ohne Paket drumherum brauchen wir den Namen, um das richtige Release zu
+# finden -- die beiden Anwendungen liegen in getrennten Repositorien.
+if [[ ! -f "$SCRIPT_DIR/deploy/install.sh" ]]; then
+  [[ "$APP" == "tesm" || "$APP" == "tesm-license" ]] || {
+    echo "Diese Datei liegt allein hier und muss sich das Release holen --" >&2
+    echo "dafuer braucht sie --app <tesm|tesm-license>." >&2
+    echo "Verwendung: install.sh --app <tesm|tesm-license> [weitere Optionen]" >&2
+    exit 2
+  }
+fi
+
+# --8<-- Bootstrap: Release holen --------------------------------------------
+# Wortgleich in update.sh und upgrade.sh; ein Hygienetest vergleicht die beiden
+# Bloecke. Zwei eigenstaendige Skripte koennen sich keine Datei teilen, und
+# beide sollen als **einzelne Datei** genuegen: auf das Zielsystem legen,
+# ausfuehren, fertig -- auf einer 1.2.8 liegt nichts von diesem Projekt.
+#
+# Erwartet: $APP und $TAG, wahlweise $REPO (Vorgabe: $APP). Setzt: $TAG
+# (aufgeloest) und $SRC (entpacktes Release). Raeumt sein Arbeitsverzeichnis
+# beim Beenden auf.
+#
+# $REPO gibt es, weil Installationsname und Repositorium auseinanderfallen
+# koennen: die Master-Ausgabe des Lizenzservers liegt in
+# "tesm-license-master", die Installation heisst weiter "tesm-license".
+#
+# Zwei Fallen des Vorgaengers sind hier vermieden:
+#   * Der Tag "latest" wird ueber die API aufgeloest, nie direkt in die
+#     Download-URL geschrieben. Gitea liefert sonst mit HTTP 200 ein
+#     automatisch erzeugtes Quell-Snapshot statt des echten Release-Anhangs.
+#   * Nach dem Entpacken wird geprueft, dass ein install.sh existiert.
+BASE="${TESM_RELEASE_BASE:-https://gitea.int.eertmoed.net}"
+OWNER="${TESM_RELEASE_OWNER:-alientim}"
+
+# Ein privates Repositorium -- tesm-license-master -- gibt sein Release nur mit
+# Zugriffstoken heraus. Reihenfolge: Umgebungsvariable, dann eine Datei, die
+# der Betreiber selbst anlegt. Der Installer legt sie nie an: ob ein Token auf
+# dem Server liegt, ist keine Entscheidung eines Skripts.
+TOKEN="${TESM_RELEASE_TOKEN:-}"
+if [[ -z "$TOKEN" && -r /etc/tesm-release.token ]]; then
+  TOKEN="$(tr -d '[:space:]' < /etc/tesm-release.token)"
+fi
+
+# Ein Wagenruecklauf im Paket macht jedes Shell-Skript auf dem Ziel unbrauchbar
+# ("bad interpreter"). Die Pruefung darf dabei nicht selbst von einem
+# Zusatzpaket abhaengen: mit "file" -- das auf einem schlanken Server fehlt --
+# endete sie in "command not found", grep bekam nichts zu sehen, und das Skript
+# machte weiter, als waere alles in Ordnung.
+hat_crlf() {
+  local cr
+  cr="$(printf '\r')"
+  # -U (binaer lesen) ist unter Linux ohne Wirkung, auf einer
+  # Windows-Buildmaschine aber entscheidend: dort entfernt grep den
+  # Wagenruecklauf beim Lesen und findet deshalb nie einen.
+  LC_ALL=C grep -qU "$cr" "$1"
+}
+
+BOOTSTRAP_WORK=""
+bootstrap_aufraeumen() {
+  # Den Ausstiegscode zuerst festhalten: alles danach ueberschreibt ihn.
+  local code=$?
+  [[ -n "$BOOTSTRAP_WORK" ]] && rm -rf "$BOOTSTRAP_WORK"
+  # Wer einen eigenen Abschluss braucht -- etwa einen Rueckweg nach einem
+  # Fehlschlag --, definiert "beim_beenden". Ein zweiter "trap ... EXIT" waere
+  # der falsche Weg: er wuerde diesen hier ersetzen, und das entpackte Release
+  # bliebe unter /tmp liegen.
+  declare -F beim_beenden >/dev/null 2>&1 && beim_beenden "$code"
+  return "$code"
+}
+trap bootstrap_aufraeumen EXIT
+
+release_holen() {
+  local repo="${TESM_RELEASE_REPO:-${REPO:-$APP}}" asset
+  # Leeres Array und "set -u" vertragen sich nur mit dieser Schreibweise.
+  local -a kopf=()
+  [[ -n "$TOKEN" ]] && kopf=(-H "Authorization: token $TOKEN")
+  for werkzeug in curl tar python3 find; do
+    command -v "$werkzeug" >/dev/null 2>&1 || {
+      echo "Auf diesem System fehlt $werkzeug -- ohne das geht es nicht." >&2
+      return 1
+    }
+  done
+  BOOTSTRAP_WORK="$(mktemp -d /tmp/tesm-release-XXXXXX)"
+
+  if [[ "$TAG" == "latest" ]]; then
+    echo "==> Ermittle aktuellen Release-Tag ..."
+    TAG="$(curl -fsS ${kopf[0]+"${kopf[@]}"} "$BASE/api/v1/repos/$OWNER/$repo/releases/latest" \
+          | python3 -c 'import json,sys; print(json.load(sys.stdin)["tag_name"])')" || {
+      echo "Kein Release gefunden unter $BASE/$OWNER/$repo." >&2
+      [[ -z "$TOKEN" ]] &&
+        echo "Ist das Repositorium privat? Dann TESM_RELEASE_TOKEN setzen." >&2
+      echo "Andere Quelle: TESM_RELEASE_BASE, TESM_RELEASE_OWNER, TESM_RELEASE_REPO." >&2
+      return 1
+    }
+    echo "    $TAG"
+  fi
+
+  asset="$repo-$TAG.tar.gz"
+  echo "==> Lade $asset ..."
+  curl -fsSL ${kopf[0]+"${kopf[@]}"} -o "$BOOTSTRAP_WORK/$asset" \
+       "$BASE/$OWNER/$repo/releases/download/$TAG/$asset" || {
+    echo "Download fehlgeschlagen: $BASE/$OWNER/$repo/releases/download/$TAG/$asset" >&2
+    return 1
+  }
+
+  echo "==> Entpacke ..."
+  tar -xzf "$BOOTSTRAP_WORK/$asset" -C "$BOOTSTRAP_WORK"
+  # Drei Ebenen, nicht zwei: release.sh packt mit dem Praefix "<name>/", also
+  # liegt das Skript unter <name>/deploy/install.sh. Mit "-maxdepth 2" fand die
+  # Suche nie etwas -- und die Fehlermeldung schob es auf den Download.
+  SRC="$(find "$BOOTSTRAP_WORK" -maxdepth 3 -name install.sh -path '*/deploy/*' \
+         -printf '%h/..\n' | head -1)"
+  [[ -n "$SRC" ]] || {
+    echo "Im Paket fehlt deploy/install.sh -- Download unbrauchbar." >&2
+    return 1
+  }
+  SRC="$(cd "$SRC" && pwd)"
+
+  echo "==> Pruefe auf CRLF (Windows-Buildmaschinen) ..."
+  if hat_crlf "$SRC/deploy/install.sh"; then
+    echo "Das Paket enthaelt CRLF-Zeilenenden. Beim Paketieren fehlte" >&2
+    echo "'git -c core.autocrlf=false archive'." >&2
+    return 1
+  fi
+}
+# --8<-- Ende Bootstrap ------------------------------------------------------
+
+if [[ -f "$SCRIPT_DIR/deploy/install.sh" ]]; then
+  # Im Paket: der Installer liegt daneben.
+  exec bash "$SCRIPT_DIR/deploy/install.sh" ${ARGUMENTE[0]+"${ARGUMENTE[@]}"}
+fi
+
+# Allein: Release holen und dessen Installer benutzen. Kein exec -- sonst
+# laeuft die Aufraeumfalle nie und das entpackte Release bliebe unter /tmp.
+release_holen || { echo "Das Release liess sich nicht holen." >&2; exit 1; }
+bash "$SRC/deploy/install.sh" ${ARGUMENTE[0]+"${ARGUMENTE[@]}"}
@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"

 [project]
 name = "tesm-core"
-version = "2.0.4"
+version = "2.8.0"
 description = "Gemeinsames Anwendungsgeruest (Auth, RBAC, Navigation, Design-System, Migrationen) fuer TESM und TESM-Lizenzserver"
 requires-python = ">=3.11"
 dependencies = [
@@ -8,7 +8,20 @@ Design-System.

 from __future__ import annotations

-__version__ = "2.0.2"
+#: Version aus den Metadaten des installierten Pakets -- die einzige Quelle
+#: ist ``pyproject.toml``. Vorher stand hier eine feste Zahl, und die
+#: Fusszeile zeigte vier Releases lang 2.0.2.
+#:
+#: Im Quellbaum ohne ``pip install`` gibt es keine Metadaten; dann steht dort
+#: "unbekannt" statt einer erfundenen Nummer. In einem editierbaren Install
+#: zeigt sie den Stand des letzten ``pip install -e`` -- also die Version, die
+#: tatsaechlich installiert ist.
+try:  # pragma: no cover - haengt an der Installationsart
+    from importlib.metadata import PackageNotFoundError, version as _paketversion
+
+    __version__ = _paketversion("tesm-core")
+except (ImportError, PackageNotFoundError):  # pragma: no cover
+    __version__ = "unbekannt"

 from .app_factory import create_base_app
 from .config import CoreConfig, SecurityConfig, load_core_config
@@ -13,10 +13,12 @@ import secrets
 from datetime import datetime, timezone
 from typing import Any, Sequence

-from flask import Blueprint, Flask, g, render_template, request
+from urllib.parse import urlencode
+
+from flask import Blueprint, Flask, g, redirect, render_template, request
 from werkzeug.exceptions import HTTPException

-from . import audit, logging_setup, ui
+from . import audit, legacy_urls, logging_setup, ui
 from .config import CoreConfig
 from .core_schema import CORE_MIGRATIONS
 from .db import Database
@@ -31,6 +33,7 @@ from .security import csrf
 from .security import sessions as session_store
 from .security.sessions import SqliteSessionInterface
 from .settings_store import SettingSpec, SettingsStore
+from . import uploads
 from .sysops import SysOps
 from .auth import directory
 from .auth import routes as auth_routes
@@ -56,18 +59,29 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
        30,
        "int",
        "Aufbewahrung im Papierkorb (Tage)",
-        hint="Nach dieser Frist werden Eintraege beim naechsten Aufruf endgueltig entfernt.",
+        hint="Nach dieser Frist werden Einträge beim nächsten Aufruf endgültig entfernt.",
        section="system",
        minimum=1,
        maximum=3650,
    ),
+    SettingSpec(
+        "session_absolute_hours",
+        12,
+        "int",
+        "Längstmögliche Sitzungsdauer (Stunden)",
+        hint="Danach ist Schluss, auch bei ständiger Arbeit – eine Sitzung soll nicht "
+        "ewig leben. Die eingebundenen Dateifreigaben enden mit ihr.",
+        section="system",
+        minimum=1,
+        maximum=168,
+    ),
    SettingSpec(
        "session_idle_minutes",
        30,
        "int",
        "Automatische Abmeldung nach Leerlauf (Minuten)",
-        hint="Jede Anfrage setzt den Zaehler zurueck -- gezaehlt wird nur Untaetigkeit. "
-        "Gilt auch fuer die eingebundenen Dateifreigaben: mit der Sitzung endet die "
+        hint="Jede Anfrage setzt den Zähler zurück – gezählt wird nur Untätigkeit. "
+        "Gilt auch für die eingebundenen Dateifreigaben: mit der Sitzung endet die "
        "Einbindung.",
        section="system",
        minimum=5,
@@ -100,8 +114,8 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
    SettingSpec("web_hsts_enabled", False, "bool", "HSTS senden", section="web"),
    SettingSpec("web_redirect_http", True, "bool", "HTTP auf HTTPS umleiten", section="web"),
    SettingSpec("web_cert_path", "", "str", "Zertifikat (Pfad)", section="web"),
-    SettingSpec("web_key_path", "", "str", "Privater Schluessel (Pfad)", section="web"),
-    SettingSpec("web_acme_email", "", "str", "E-Mail fuer Let's Encrypt", section="web"),
+    SettingSpec("web_key_path", "", "str", "Privater Schlüssel (Pfad)", section="web"),
+    SettingSpec("web_acme_email", "", "str", "E-Mail für Let's Encrypt", section="web"),
    SettingSpec("web_acme_webroot", "", "str", "ACME-Webroot", section="web"),
    # Abweichende Ports braucht nur eine Testinstanz neben der Produktion --
    # im Regelbetrieb bleibt es bei 80 und 443.
@@ -112,7 +126,7 @@ CORE_SETTINGS: tuple[SettingSpec, ...] = (
        "web_https_port", 443, "int", "HTTPS-Port", section="web", minimum=1, maximum=65535
    ),
    SettingSpec(
-        "web_max_body_mb", 128, "int", "Maximale Anfragegroesse (MB)", section="web",
+        "web_max_body_mb", 128, "int", "Maximale Anfragegröße (MB)", section="web",
        minimum=1, maximum=8192,
    ),
    *directory.SETTINGS,
@@ -130,11 +144,15 @@ def create_base_app(
    import_name: str = "tesm_core",
    app_short: str = "TESM",
    app_edition: str = "",
-    #: Zeile unter der Wortmarke auf den Anmeldeseiten. Leer = kein
-    #: Seitenhintergrund. Der Lizenzserver setzt sie bewusst nicht: die
-    #: Funktionsliste von TESM waere dort schlicht falsch.
+    #: Zeile unter der Wortmarke auf den Anmeldeseiten. Leer = nur die
+    #: Wortmarke, ohne Zeile darunter; die Marke selbst zeigen beide
+    #: Anwendungen.
    auth_tagline: str = "",
-    app_version: str = "2.0.4",
+    #: Beide Anwendungen geben ihre eigene Paketversion mit -- und die laeuft
+    #: absichtlich auseinander: was sich nicht geaendert hat, bekommt keine
+    #: neue Nummer. Eine feste Zahl an dieser Stelle wuerde irgendwann eine
+    #: falsche Version in die Fussnote schreiben.
+    app_version: str = "unbekannt",
    built_in_trusted_keys: tuple[str, ...] = (),
    enable_license: bool = True,
    template_folder: str | None = None,
@@ -146,6 +164,10 @@ def create_base_app(
        static_folder=static_folder or "static",
        static_url_path="/assets",
    )
+    # Umlaute bleiben Umlaute -- auch in JSON. Flask wuerde sonst nach ASCII
+    # ausweichen ("ü"), und genau darin stehen die Flash-Meldungen in der
+    # Seite: eine Meldung mit "ue" war lesbar, eine mit "ü" wurde zu Zahlen.
+    app.json.ensure_ascii = False

    # Templates und Design-System des Kerns liegen im Paket ``tesm_core`` und
    # werden ueber einen eigenen Blueprint bereitgestellt. Dadurch kann jede
@@ -163,6 +185,10 @@ def create_base_app(
    config.data_dir.mkdir(parents=True, exist_ok=True)
    config.log_dir.mkdir(parents=True, exist_ok=True)

+    # Die Groessengrenze einer Anfrage kommt aus der Einstellung, nicht aus
+    # der Konfiguration beim Start.
+    app.request_class = uploads.UploadLimitRequest
+
    app.config.update(
        SECRET_KEY=load_or_create_secret_key(config.secret_key_file),
        # site_key statt app_key: Cookies unterscheiden keine Ports. Zwei
@@ -172,6 +198,9 @@ def create_base_app(
        SESSION_COOKIE_HTTPONLY=True,
        SESSION_COOKIE_SECURE=config.security.cookie_secure,
        SESSION_COOKIE_SAMESITE=config.security.cookie_samesite,
+        # Nur die aeussere Schranke aus der Umgebung. Die eigentliche Grenze
+        # steht in der Einstellung und wird pro Anfrage gelesen (uploads.py) --
+        # sonst braeuchte jede Aenderung einen Neustart aller Arbeiter.
        MAX_CONTENT_LENGTH=config.security.max_content_length,
        JSON_SORT_KEYS=False,
        TRAP_HTTP_EXCEPTIONS=False,
@@ -222,12 +251,21 @@ def create_base_app(
            wert = 0
        return wert if wert > 0 else config.security.session_idle_minutes

+    def _gesamtdauer(conn: Any) -> int:
+        """Gesamtdauer aus den Einstellungen -- ueber dieselbe offene Verbindung."""
+        try:
+            wert = int(settings.get(conn, "session_absolute_hours") or 0)
+        except (TypeError, ValueError):
+            wert = 0
+        return wert if wert > 0 else config.security.session_absolute_hours
+
    app.session_interface = SqliteSessionInterface(
        database,
        cookie_name=app.config["SESSION_COOKIE_NAME"],
        idle_minutes=config.security.session_idle_minutes,
        absolute_hours=config.security.session_absolute_hours,
        idle_lookup=_leerlauf,
+        absolute_lookup=_gesamtdauer,
    )

    # -- Schema und Startzustand ------------------------------------------ #
@@ -328,6 +366,26 @@ def create_base_app(
    # -- Fehlerseiten ------------------------------------------------------ #
    @app.errorhandler(HTTPException)
    def _http_error(error: HTTPException):  # type: ignore[no-untyped-def]
+        if error.code == 404:
+            # Vor der Fehlerseite: war das eine Adresse aus der Zeit vor 2.5.0?
+            # Erst hier gefragt, damit die Tabelle nie eine bestehende Route
+            # verdeckt -- auf dem Lizenzserver ist /lizenz/<ticket> echt.
+            ziel = legacy_urls.neue_adresse(request.path)
+            if ziel is not None:
+                parameter = legacy_urls.neue_parameter(request.args.to_dict(flat=True))
+                if parameter:
+                    ziel = ziel + "?" + urlencode(parameter)
+                return redirect(ziel)
+        if error.code == 413:
+            # "Request Entity Too Large" allein hilft niemandem weiter: die
+            # Zahl steht in einer Einstellung, und wer hochlaedt, soll sie
+            # sehen. Vorher stand hier nur der nackte Status.
+            grenze = uploads.limit_mb()
+            error.description = (
+                f"Diese Datei ist größer als erlaubt. Zurzeit sind {grenze} MB je Upload "
+                "eingestellt; ändern kann das ein Administrator unter "
+                '"Einstellungen -> Webserver und TLS".'
+            )
        if _wants_json():
            return {
                "error": error.name,
@@ -381,7 +439,7 @@ def create_base_app(
    with app.app_context():
        trash_views.register_core_providers()

-    app.add_url_rule("/gesundheit", "health", _health, methods=["GET"])
+    app.add_url_rule("/health", "health", _health, methods=["GET"])

    return app

@@ -28,7 +28,7 @@ import sqlite3
 from collections import defaultdict
 from datetime import datetime, timezone
 from pathlib import Path
-from typing import Any, Iterable
+from typing import Any, Collection, Iterable, Mapping, Sequence

 from .db import Database

@@ -116,6 +116,49 @@ def log(
    return int(cursor.lastrowid or 0)


+def diff(
+    vorher: Mapping[str, Any] | None,
+    nachher: Mapping[str, Any] | None,
+    *,
+    felder: Sequence[tuple[str, str]] | None = None,
+    geheim: Collection[str] = (),
+) -> str:
+    """Was sich geaendert hat: ``Feld: alt -> neu``, mit Komma getrennt.
+
+    Damit steht im Protokoll nicht nur *dass* etwas geaendert wurde, sondern
+    auch *von was auf was* -- der Weg zurueck steht damit in der Zeile selbst.
+
+    ``felder`` gibt Auswahl und Beschriftung vor (``[("ssh_port", "SSH-Port")]``);
+    ohne Angabe werden alle gemeinsamen Felder verglichen. Namen in ``geheim``
+    werden nie im Klartext geschrieben -- dort steht nur, dass sie sich
+    geaendert haben.
+    """
+    if vorher is None or nachher is None:
+        return ""
+    paare = felder or [(name, name) for name in sorted(set(vorher) & set(nachher))]
+    teile: list[str] = []
+    for name, beschriftung in paare:
+        if name not in vorher or name not in nachher:
+            continue
+        alt, neu = vorher[name], nachher[name]
+        if alt == neu:
+            continue
+        if name in geheim:
+            teile.append(f"{beschriftung}: geaendert")
+            continue
+        teile.append(f"{beschriftung}: {_wert(alt)} -> {_wert(neu)}")
+    return ", ".join(teile)
+
+
+def _wert(wert: Any) -> str:
+    if wert is None or wert == "":
+        return "(leer)"
+    if isinstance(wert, bool):
+        return "ein" if wert else "aus"
+    text = " ".join(str(wert).split())
+    return text if len(text) <= 80 else text[:79] + "…"
+
+
 def verify_chain(conn: sqlite3.Connection, *, limit: int | None = None) -> dict[str, Any]:
    """Prueft die Hash-Kette. Rueckgabe: ``{"ok", "checked", "broken_at", "reason"}``."""
    sql = "SELECT * FROM audit_log ORDER BY id"
@@ -133,14 +176,14 @@ def verify_chain(conn: sqlite3.Connection, *, limit: int | None = None) -> dict[
                "ok": False,
                "checked": checked,
                "broken_at": data["id"],
-                "reason": "Vorgaenger-Hash passt nicht -- eine Zeile wurde entfernt oder eingefuegt.",
+                "reason": "Vorgänger-Hash passt nicht – eine Zeile wurde entfernt oder eingefügt.",
            }
        if compute_hash(str(data["prev_hash"]), data) != data["hash"]:
            return {
                "ok": False,
                "checked": checked,
                "broken_at": data["id"],
-                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash -- Eintrag geaendert.",
+                "reason": "Zeileninhalt passt nicht zum gespeicherten Hash | Eintrag geändert.",
            }
        expected_prev = str(data["hash"])
        checked += 1
@@ -59,20 +59,20 @@ SETTINGS: tuple[SettingSpec, ...] = (
        section="ldap",
        choices=(("ldaps", "LDAPS (Port 636)"), ("starttls", "StartTLS (Port 389)"), ("none", "Unverschluesselt")),
    ),
-    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat pruefen", section="ldap"),
+    SettingSpec("ldap_verify_cert", True, "bool", "Serverzertifikat prüfen", section="ldap"),
    SettingSpec("ldap_ca_file", "", "str", "CA-Zertifikat (Pfad)", section="ldap"),
    SettingSpec(
        "ldap_allow_insecure",
        False,
        "bool",
-        "Unverschluesselte Verbindung ausdruecklich erlauben",
-        hint="Nur fuer Testumgebungen. Das Passwort geht dabei im Klartext ueber das Netz.",
+        "Unverschlüsselte Verbindung ausdrücklich erlauben",
+        hint="Nur für Testumgebungen. Das Passwort geht dabei im Klartext über das Netz.",
        section="ldap",
    ),
    SettingSpec("ldap_base_dn", "", "str", "Basis-DN (leer = automatisch)", section="ldap"),
    SettingSpec("ldap_user_attribute", "sAMAccountName", "str", "Anmeldeattribut", section="ldap"),
    SettingSpec("ldap_email_attribute", "userPrincipalName", "str", "E-Mail-Attribut", section="ldap"),
-    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis uebernehmen", section="ldap"),
+    SettingSpec("ldap_group_sync", True, "bool", "Gruppen aus dem Verzeichnis übernehmen", section="ldap"),
    SettingSpec("ldap_timeout", 8, "int", "Zeitlimit (Sekunden)", section="ldap", minimum=1, maximum=60),
 )

@@ -123,7 +123,7 @@ def bind_credentials(conn: sqlite3.Connection) -> tuple[str, str]:
    try:
        secret = core().keystore.decrypt(encrypted, aad=AAD_LDAP_BIND)
    except Exception:  # noqa: BLE001 - Schluessel gewechselt/Datei kaputt
-        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschluesselt werden")
+        logger.error("Bind-Passwort des Verzeichnisdienstes konnte nicht entschlüsselt werden")
        return str(row.get("username") or ""), ""
    return str(row.get("username") or ""), secret

@@ -182,7 +182,7 @@ def _connect(config: dict[str, Any], user: str, password: str):
    security = str(config["ldap_security"])
    if security == "none" and not config["ldap_allow_insecure"]:
        raise PermissionError(
-            "Unverschluesselte Verzeichnisverbindungen sind deaktiviert. "
+            "Unverschlüsselte Verzeichnisverbindungen sind deaktiviert. "
            "Nutzen Sie LDAPS oder StartTLS."
        )
    connection = Connection(
@@ -249,9 +249,9 @@ def authenticate(conn: sqlite3.Connection, username: str, password: str) -> Dire
    bind_user, bind_password = bind_credentials(conn)
    warnings: list[str] = []
    if str(config["ldap_security"]) == "none":
-        warnings.append("Unverschluesselte Verzeichnisverbindung in Benutzung")
+        warnings.append("Unverschlüsselte Verzeichnisverbindung in Benutzung")
    if not config["ldap_verify_cert"]:
-        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprueft")
+        warnings.append("Serverzertifikat des Verzeichnisdienstes wird nicht geprüft")

    try:
        service_conn, bound = _connect(config, bind_user, bind_password)
@@ -359,7 +359,7 @@ def _resolve_groups(connection: Any, base: str, user_dn: str) -> tuple[str, ...]
        )
        return tuple(str(entry.entry_dn) for entry in connection.entries)
    except Exception as exc:  # noqa: BLE001
-        logger.warning("Gruppenaufloesung fehlgeschlagen: %s", exc)
+        logger.warning("Gruppenauflösung fehlgeschlagen: %s", exc)
        return ()


@@ -423,18 +423,24 @@ def _apply_group_mappings(
    zugewiesene Gruppen bleiben erhalten, wenn sie kein Verzeichnis-Mapping
    haben -- sonst waere jede lokale Zuweisung nach dem naechsten Login weg.
    """
-    if not group_dns:
-        return
    mappings = Database.all(
-        conn, "SELECT ad_group_dn, app_group_id FROM ldap_group_mappings"
+        conn, "SELECT ad_group_dn, app_group_id, grants_admin FROM ldap_group_mappings"
    )
    if not mappings:
        return
-    mapped_group_ids = {int(row["app_group_id"]) for row in mappings}
    lowered = {dn.lower() for dn in group_dns}
+    # Das Kennzeichen zuerst -- es haengt an keiner Gruppe und muss auch dann
+    # ausgewertet werden, wenn das Konto in keiner zugeordneten Gruppe steht.
+    _kennzeichen_setzen(conn, user_id, mappings, lowered)
+    if not group_dns:
+        return
+    gruppenzuordnungen = [row for row in mappings if row["app_group_id"] is not None]
+    if not gruppenzuordnungen:
+        return
+    mapped_group_ids = {int(row["app_group_id"]) for row in gruppenzuordnungen}
    wanted = {
        int(row["app_group_id"])
-        for row in mappings
+        for row in gruppenzuordnungen
        if str(row["ad_group_dn"]).lower() in lowered
    }

@@ -452,6 +458,71 @@ def _apply_group_mappings(
    )


+def _kennzeichen_setzen(
+    conn: sqlite3.Connection,
+    user_id: int,
+    mappings: list[dict[str, Any]],
+    gruppen: set[str],
+) -> None:
+    """Setzt oder entzieht das Administratorkennzeichen nach dem Verzeichnis.
+
+    Wirkung wie bei Gruppen: **ersetzend**. Wer aus der zugeordneten
+    AD-Gruppe herausfaellt, verliert das Kennzeichen bei der naechsten
+    Anmeldung -- sonst waere ein Austritt im Verzeichnis eine Aenderung, die
+    hier nie ankommt.
+
+    Zwei Grenzen, beide absichtlich:
+
+    * Nur **Verzeichniskonten**. Ein lokales Konto (etwa das, das
+      ``tesm-admin create-admin`` anlegt) bleibt unberuehrt -- es ist der
+      Notausgang, wenn das Verzeichnis nicht erreichbar ist.
+    * Nie den letzten entsperrten Administrator herunterstufen. Ein
+      Tippfehler im DN wuerde sonst beim naechsten Login die Anlage
+      verschliessen, und niemand koennte ihn korrigieren.
+    """
+    zuordnungen = [row for row in mappings if int(row["grants_admin"] or 0) == 1]
+    if not zuordnungen:
+        return
+    soll = any(str(row["ad_group_dn"]).lower() in gruppen for row in zuordnungen)
+    zeile = Database.one(
+        conn, "SELECT is_admin, auth_source FROM users WHERE id=?", (user_id,)
+    )
+    if zeile is None or str(zeile["auth_source"]) != "ldap":
+        return
+    ist = bool(zeile["is_admin"])
+    if ist == soll:
+        return
+    if not soll:
+        uebrig = Database.value(
+            conn,
+            "SELECT COUNT(*) FROM users WHERE is_admin=1 AND is_locked=0 "
+            "AND deleted_at IS NULL AND id<>?",
+            (user_id,),
+            default=0,
+        )
+        if not uebrig:
+            logger.warning(
+                "Administratorkennzeichen bleibt bei Benutzer %s: es waere das letzte.",
+                user_id,
+            )
+            return
+    conn.execute(
+        "UPDATE users SET is_admin=?, updated_at=? WHERE id=?", (int(soll), _now(), user_id)
+    )
+    audit.log(
+        conn,
+        actor="system",
+        action="auth.admin_flag_changed",
+        target=str(user_id),
+        detail=(
+            "Administrator: "
+            + ("nein -> ja" if soll else "ja -> nein")
+            + " (aus der Verzeichniszuordnung)"
+        ),
+        severity="warning",
+    )
+
+
 def _user_group_ids(conn: sqlite3.Connection, user_id: int) -> list[dict[str, Any]]:
    return Database.all(conn, "SELECT group_id AS id FROM user_groups WHERE user_id=?", (user_id,))

@@ -77,25 +77,40 @@ class User:

    @property
    def effective_permissions(self) -> frozenset[str]:
-        """Rechte nach Anwendung der Bereichs-Kill-Switches."""
+        """Rechte nach Anwendung der Bereichs-Kill-Switches.
+
+        Ein echter Administrator hat den Verwaltungsbereich immer dabei -- auch
+        ohne Gruppe und ohne dass jemand ihn angehakt haette. Sonst koennte
+        sich das letzte Administratorkonto aus der eigenen Anlage aussperren,
+        indem es seine Gruppe verliert.
+        """
        if self._effective is None:
            tree = self._tree
-            self._effective = (
-                frozenset(tree.effective(self.granted)) if tree is not None else frozenset()
-            )
+            if tree is None:
+                self._effective = frozenset()
+            else:
+                eigene = set(tree.effective(self.granted))
+                if self.is_admin:
+                    eigene |= set(tree.verwaltungsrechte())
+                self._effective = frozenset(eigene)
        return self._effective

    def has(self, *permissions: str) -> bool:
-        """True, wenn **alle** angegebenen Rechte greifen. Admins duerfen immer alles."""
-        if self.is_admin:
-            return True
+        """True, wenn **alle** angegebenen Rechte greifen.
+
+        Das Administratorkennzeichen gibt seit 2.8.0 **den Verwaltungsbereich**
+        frei und nicht mehr jede Pruefung: Benutzer, Gruppen, Einstellungen,
+        Sicherung, Papierkorb, Diagnose. Funktionsrechte -- Geraete, Neustarts,
+        DHCP, Freigaben -- kommen ueber Gruppen, und die darf sich ein
+        Administrator selbst zuweisen. Der Unterschied ist nicht, *ob* er sie
+        bekommen kann, sondern dass es dann eine Zeile im
+        Aenderungsprotokoll gibt und in der Matrix zu sehen ist.
+        """
        if not permissions:
            return True
        return all(permission in self.effective_permissions for permission in permissions)

    def has_any(self, permissions: Iterable[str]) -> bool:
-        if self.is_admin:
-            return True
        effective = self.effective_permissions
        return any(permission in effective for permission in permissions)

@@ -200,7 +215,12 @@ def _deny(message: str) -> Any:
            abort(401, description="Sitzung abgelaufen.")
        if request.accept_mimetypes.accept_json and not request.accept_mimetypes.accept_html:
            abort(401, description="Anmeldung erforderlich.")
-        flash("Bitte melden Sie sich an.", "info")
+        # "Bitte melden Sie sich an." stand auf einer Seite, die aus einem
+        # Anmeldefeld, einem Passwortfeld und einem Knopf "Anmelden" besteht --
+        # eine Meldung, die nichts hinzufuegt. Wer dagegen gerade noch
+        # angemeldet war, soll erfahren, warum er es nicht mehr ist.
+        if getattr(g, "session_expired", False):
+            flash("Ihre Sitzung ist abgelaufen. Bitte melden Sie sich erneut an.", "info")
        return redirect(url_for("auth.login"))
    abort(403, description=message)

@@ -215,6 +235,37 @@ def login_required(view: Callable[..., Any]) -> Callable[..., Any]:
    return wrapper


+def _verlangt_wiederanmeldung(permission: str) -> bool:
+    """Fragt das Rechtemodell -- ausserhalb einer Anwendung nie."""
+    try:
+        from ..extension import core
+
+        return bool(core().permissions.verlangt_wiederanmeldung(permission))
+    except Exception:  # noqa: BLE001 - ohne Modell keine zusaetzliche Huerde
+        return False
+
+
+def _wiederanmeldung_frisch() -> bool:
+    from .service import reauth_is_fresh  # zyklischen Import vermeiden
+
+    return reauth_is_fresh()
+
+
+def _bitte_bestaetigen(permission: str) -> Any:
+    """Zur Passwortbestaetigung schicken -- oder es einem Skript sagen.
+
+    Ein Aufruf per fetch bekaeme sonst die Anmeldeseite als Antwort und wuesste
+    nichts damit anzufangen.
+    """
+    if is_automatic(request) or (
+        request.accept_mimetypes.accept_json and not request.accept_mimetypes.accept_html
+    ):
+        abort(403, description="Bitte bestätigen Sie zur Sicherheit Ihr Passwort.")
+    session["_after_reauth"] = request.full_path if request.query_string else request.path
+    flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
+    return redirect(url_for("auth.reauth"))
+
+
 def permission_required(*permissions: str, mode: str = "all") -> Callable[..., Any]:
    """Erzwingt Rechte serverseitig.

@@ -232,7 +283,15 @@ def permission_required(*permissions: str, mode: str = "all") -> Callable[..., A
                else current_user.has(*permissions)
            )
            if not ok:
-                return _deny("Fuer diese Seite fehlt Ihnen die Berechtigung.")
+                return _deny("Für diese Seite fehlt Ihnen die Berechtigung.")
+            # Geheimnisse und Exporte verlangen eine frische Bestaetigung --
+            # das steht im Rechtemodell und wird deshalb hier abgefragt, nicht
+            # in jeder Route einzeln. Vorher hing es daran, dass jemand an den
+            # Dekorator dachte: dieselbe Lizenz herunterzuladen fragte nach,
+            # sie per Mail zu verschicken nicht.
+            heikel = [p for p in permissions if _verlangt_wiederanmeldung(p)]
+            if heikel and not _wiederanmeldung_frisch():
+                return _bitte_bestaetigen(heikel[0])
            return view(*args, **kwargs)

        wrapper._required_permissions = permissions  # type: ignore[attr-defined]
@@ -274,7 +333,7 @@ def reauth_required(view: Callable[..., Any]) -> Callable[..., Any]:
            return _deny("Anmeldung erforderlich.")
        if not reauth_is_fresh():
            session["_after_reauth"] = request.full_path if request.query_string else request.path
-            flash("Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.", "info")
+            flash("Bitte bestätigen Sie zur Sicherheit Ihr Passwort.", "info")
            return redirect(url_for("auth.reauth"))
        return view(*args, **kwargs)

@@ -66,7 +66,7 @@ def login():
    )


-@bp.route("/login/zweiter-faktor", methods=["GET", "POST"])
+@bp.route("/login/second-factor", methods=["GET", "POST"])
 def second_factor():
    conn = db()
    user_row = service.pending_totp_user(conn)
@@ -116,7 +116,7 @@ def logout_get():
    return redirect(url_for("auth.login"))


-@bp.route("/bestaetigen", methods=["GET", "POST"])
+@bp.route("/confirm", methods=["GET", "POST"])
@login_required
 def reauth():
    target = _safe_next(session.get("_after_reauth"))
@@ -151,7 +151,7 @@ def authenticate(
    if ip_verdict.blocked:
        return AuthOutcome(
            "rate_limited",
-            "Zu viele Anmeldeversuche von dieser Adresse. Bitte spaeter erneut versuchen.",
+            "Zu viele Anmeldeversuche von dieser Adresse. Bitte später erneut versuchen.",
            retry_after=ip_verdict.retry_after_seconds,
        )

@@ -165,7 +165,7 @@ def authenticate(
    if user_verdict.blocked:
        return AuthOutcome(
            "rate_limited",
-            "Dieses Konto ist nach mehreren Fehlversuchen voruebergehend gesperrt.",
+            "Dieses Konto ist nach mehreren Fehlversuchen vorübergehend gesperrt.",
            retry_after=user_verdict.retry_after_seconds,
        )

@@ -248,7 +248,7 @@ def _verify_credentials(
        return AuthOutcome(
            "directory_unavailable",
            "Der Verzeichnisdienst ist derzeit nicht erreichbar. "
-            "Bitte versuchen Sie es spaeter erneut.",
+            "Bitte versuchen Sie es später erneut.",
        )
    if result.status != "ok" or result.profile is None:
        return AuthOutcome("invalid", GENERIC_FAILURE)
@@ -257,6 +257,24 @@ def _verify_credentials(
    return AuthOutcome("ok", user_row=user_row, group_dns=result.profile.group_dns)


+
+def _ist_erstanmeldung(user_row: dict[str, Any]) -> bool:
+    """Meldet sich dieses Konto zum ersten Mal ueberhaupt an?
+
+    Das Aenderungsprotokoll soll Aenderungen zeigen. Eine taegliche Anmeldung
+    ist keine -- sie erzeugte aber jedes Mal eine Zeile und schob damit echte
+    Eintraege aus dem Blickfeld. Interessant ist genau die erste: mit ihr
+    entsteht das Konto aus dem Verzeichnisdienst und betritt jemand die
+    Anwendung, der vorher nicht darin war.
+
+    Nicht betroffen: fehlgeschlagene Anmeldungen und Sperren. Die stehen
+    weiterhin **jedes Mal** im Protokoll -- dort liegt der sicherheitsrelevante
+    Teil, und Haeufung ist dort das Signal. Wer wann zuletzt angemeldet war,
+    steht ausserdem unveraendert am Konto und in der Sitzungsuebersicht.
+    """
+    return not str(user_row.get("last_login_at") or "").strip()
+
+
 def complete_login(
    conn: sqlite3.Connection,
    user_row: dict[str, Any],
@@ -275,21 +293,26 @@ def complete_login(
    """
    from ..security import csrf

+    # Vor dem UPDATE lesen -- danach steht ueberall ein Zeitstempel.
+    erstanmeldung = _ist_erstanmeldung(user_row)
+
    with core().database.transaction(conn):
        session_store.rotate(conn, session, reason="login")  # type: ignore[arg-type]
        conn.execute(
            "UPDATE users SET last_login_at=? WHERE id=?", (_iso(_now()), user_row["id"])
        )
-        audit.log(
-            conn,
-            actor=str(user_row["username"]),
-            actor_id=int(user_row["id"]),
-            action="auth.login",
-            target=str(user_row["username"]),
-            detail=f"Quelle: {user_row.get('auth_source') or 'local'}",
-            ip=ip,
-            request_id=getattr(g, "request_id", ""),
-        )
+        if erstanmeldung:
+            audit.log(
+                conn,
+                actor=str(user_row["username"]),
+                actor_id=int(user_row["id"]),
+                action="auth.first_login",
+                target=str(user_row["username"]),
+                detail=f"Erste Anmeldung | Quelle: {user_row.get('auth_source') or 'local'}",
+                ip=ip,
+                request_id=getattr(g, "request_id", ""),
+                severity="notice",
+            )

    session.clear()
    session[SESSION_USER_KEY] = int(user_row["id"])
@@ -336,15 +359,11 @@ def logout(conn: sqlite3.Connection) -> None:
                current_app.logger.exception(
                    "Abmeldehaken %r fehlgeschlagen", getattr(hook, "__name__", hook)
                )
-        with core().database.transaction(conn):
-            audit.log(
-                conn,
-                actor=user.username,
-                actor_id=user.id,
-                action="auth.logout",
-                target=user.username,
-                ip=client_ip(),
-            )
+        # Kein Protokolleintrag fuer das Abmelden: eine Abmeldung aendert
+        # nichts. Sie stand als "Info" in jeder zweiten Zeile und verdraengte
+        # die Eintraege, um die es geht. Wer wissen will, wer wann da war,
+        # liest die Sitzungsuebersicht; fehlgeschlagene Anmeldungen und
+        # Sperren stehen weiterhin jedes Mal im Protokoll.
    session.destroy() if hasattr(session, "destroy") else session.clear()  # type: ignore[attr-defined]
    g.user = ANONYMOUS

@@ -83,7 +83,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
            port = getattr(args, flag, None)
            if port:
                if not 1 <= int(port) <= 65535:
-                    print(f"Ungueltiger Port: {port}", file=sys.stderr)
+                    print(f"Ungültiger Port: {port}", file=sys.stderr)
                    return 2
                values[key] = int(port)

@@ -93,11 +93,11 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:

        # -- Zertifikat --------------------------------------------------- #
        config = _config_from_settings(extension, conn)
-        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unveraendert."}
+        cert: dict[str, Any] = {"ok": True, "message": "Zertifikat unverändert."}

        if args.acme:
            if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                return 2
            cert = webserver.request_certificate(
                sysops,
@@ -118,7 +118,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:

        if args.self_signed and not args.acme:
            if sysops is None or not sysops.available:
-                print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+                print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
                return 2
            suggested = webserver.local_names()
            cert = webserver.create_self_signed(
@@ -144,7 +144,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
        if args.https:
            if not (config.cert_path and config.key_path):
                print(
-                    "HTTPS verlangt Zertifikat und Schluessel -- bitte --self-signed "
+                    "HTTPS verlangt Zertifikat und Schlüssel – bitte --self-signed "
                    "oder --acme angeben.",
                    file=sys.stderr,
                )
@@ -172,7 +172,7 @@ def run_web_setup(app: Any, extension: Any, args: argparse.Namespace) -> int:
            return 0

        if sysops is None or not sysops.available:
-            print("Der Systemhelfer ist nicht verfuegbar.", file=sys.stderr)
+            print("Der Systemhelfer ist nicht verfügbar.", file=sys.stderr)
            return 2
        result = webserver.apply_config(sysops, rendered)
        print(result["message"])
@@ -194,7 +194,7 @@ def add_web_setup(sub: Any, runner: Any) -> None:
        help="nginx und TLS einrichten (Port 80/443)",
        description=(
            "Setzt die Webserver-Einstellungen und erzeugt daraus die nginx-Site. "
-            "Die Datei wird immer vollstaendig neu geschrieben -- eine von Hand "
+            "Die Datei wird immer vollständig neu geschrieben – eine von Hand "
            "bearbeitete Site-Datei gibt es in diesem Projekt bewusst nicht."
        ),
    )
@@ -207,20 +207,20 @@ def add_web_setup(sub: Any, runner: Any) -> None:
    parser.add_argument(
        "--acme",
        action="store_true",
-        help="Zertifikat per Let's Encrypt anfordern (Domain muss oeffentlich zeigen)",
+        help="Zertifikat per Let's Encrypt anfordern (Domain muss öffentlich zeigen)",
    )
-    parser.add_argument("--domain", help="Oeffentlicher Name dieser Installation")
-    parser.add_argument("--acme-email", help="Kontaktadresse fuer Let's Encrypt")
+    parser.add_argument("--domain", help="Öffentlicher Name dieser Installation")
+    parser.add_argument("--acme-email", help="Kontaktadresse für Let's Encrypt")
    parser.add_argument("--hsts", action="store_true", help="HSTS-Header setzen")
    parser.add_argument(
        "--no-redirect",
        action="store_true",
        help="Port 80 nicht auf HTTPS umleiten (Sonderfall)",
    )
-    parser.add_argument("--max-body-mb", type=int, help="Obergrenze fuer Uploads")
+    parser.add_argument("--max-body-mb", type=int, help="Obergrenze für Uploads")
    parser.add_argument("--http-port", type=int, help="Abweichender HTTP-Port (Standard 80)")
    parser.add_argument("--https-port", type=int, help="Abweichender HTTPS-Port (Standard 443)")
-    parser.add_argument("--apply", action="store_true", help="nginx schreiben, pruefen, neu laden")
+    parser.add_argument("--apply", action="store_true", help="nginx schreiben, prüfen, neu laden")
    parser.add_argument(
        "--print-config", action="store_true", help="Nur die erzeugte Datei ausgeben"
    )
@@ -76,7 +76,7 @@ class CoreConfig:
    """Technischer Kurzname, z. B. ``tesm`` -- Namensraum fuer Pfade und Units."""

    site_key: str
-    """Name *dieser Installation* auf dem Host, z. B. ``tesm-opus``.
+    """Name *dieser Installation* auf dem Host, z. B. ``tesm-test``.

    Weicht vom ``app_key`` ab, sobald neben der Hauptinstallation eine zweite
    Instanz laeuft. Alles, was ausserhalb von ``/srv/<name>`` liegt und damit
@@ -175,11 +175,11 @@ def load_core_config(

    bind = (_env(env_prefix, "BIND") or default_bind).strip()
    if not re.fullmatch(r"[0-9A-Za-z_.\[\]:-]{1,80}:\d{1,5}", bind):
-        raise ValueError(f"Ungueltige Bind-Adresse: {bind!r}")
+        raise ValueError(f"Ungültige Bind-Adresse: {bind!r}")

    site_key = (_env(env_prefix, "SITE_KEY") or app_key).strip().lower()
    if not re.fullmatch(r"[a-z0-9][a-z0-9-]{0,39}", site_key):
-        raise ValueError(f"Ungueltiger SITE_KEY: {site_key!r}")
+        raise ValueError(f"Ungültiger SITE_KEY: {site_key!r}")

    return CoreConfig(
        app_key=app_key,
@@ -141,11 +141,16 @@ CREATE TABLE IF NOT EXISTS service_accounts (
    updated_at         TEXT NOT NULL
 );

+-- Eine Verzeichnisgruppe zeigt entweder auf eine lokale Gruppe **oder** auf
+-- das Administratorkennzeichen (grants_admin). Darum ist app_group_id
+-- nullbar: "Domänen-Admins" soll echte Administratoren erzeugen koennen und
+-- nicht nur Mitglieder der Gruppe "Administration".
 CREATE TABLE IF NOT EXISTS ldap_group_mappings (
    id            INTEGER PRIMARY KEY AUTOINCREMENT,
    ad_group_dn   TEXT    NOT NULL UNIQUE,
    ad_group_name TEXT    NOT NULL,
-    app_group_id  INTEGER NOT NULL REFERENCES groups(id) ON DELETE CASCADE,
+    app_group_id  INTEGER REFERENCES groups(id) ON DELETE CASCADE,
+    grants_admin  INTEGER NOT NULL DEFAULT 0,
    created_at    TEXT    NOT NULL
 );
 """
@@ -186,8 +191,145 @@ CREATE INDEX IF NOT EXISTS idx_jobs_kind_state ON jobs(kind, state);
 CREATE INDEX IF NOT EXISTS idx_jobs_created ON jobs(created_at);
 """

+def benenne_rechte_um(conn) -> None:  # type: ignore[no-untyped-def]
+    """Schreibt bestehende Gruppenrechte auf das neue Vokabular um.
+
+    ``devices.view`` wird ``devices.read``, ``devices.edit`` wird
+    ``devices.write``. Ohne diesen Schritt stehen in den Gruppen nur noch
+    Schluessel, die der Rechtebaum nicht kennt -- und
+    :meth:`PermissionTree.sanitize` wirft Unbekanntes **still** weg. Nach dem
+    Update waeren alle Gruppen leer und niemand kaeme mehr an seine Seiten:
+    kein Fehler, den man sieht, sondern einer, den man erst merkt, wenn jemand
+    anruft.
+
+    Im Kern und nicht in den Anwendungen, weil die Tabelle beiden gehoert.
+    Idempotent: was schon neu heisst, wird nicht angefasst.
+    """
+    from .rbac.legacy_permissions import UMBENANNTE_AKTIONEN
+
+    for alt, neu in UMBENANNTE_AKTIONEN.items():
+        # Erst die Dubletten weg, die beim Umschreiben entstehen wuerden: haette
+        # eine Gruppe (aus welchem Grund auch immer) beide Schluessel, brach der
+        # eindeutige Index. Lieber vorher aufraeumen als in der Migration
+        # scheitern.
+        conn.execute(
+            "DELETE FROM group_permissions WHERE permission LIKE ? AND EXISTS ("
+            "  SELECT 1 FROM group_permissions AS andere"
+            "   WHERE andere.group_id = group_permissions.group_id"
+            "     AND andere.permission = substr(group_permissions.permission, 1,"
+            "         length(group_permissions.permission) - ?) || ?)",
+            (f"%.{alt}", len(alt), neu),
+        )
+        conn.execute(
+            "UPDATE group_permissions"
+            "   SET permission = substr(permission, 1, length(permission) - ?) || ?"
+            " WHERE permission LIKE ?",
+            (len(alt), neu, f"%.{alt}"),
+        )
+
+
+def zuordnung_auf_kennzeichen(conn) -> None:  # type: ignore[no-untyped-def]
+    """Erlaubt einer Verzeichnisgruppe, das Administratorkennzeichen zu setzen.
+
+    Bisher konnte eine Zuordnung nur auf eine lokale Gruppe zeigen. "Domänen-
+    Admins" landete deshalb in der Gruppe *Administration* -- und wurde damit
+    gerade **kein** echter Administrator: die Gruppe pflegt Benutzer und
+    Rechte, hat aber kein Kennzeichen und kann sich keines geben.
+
+    Zwei Aenderungen an der Tabelle, und SQLite kann Spalten nicht
+    umdefinieren: also neu anlegen und umkopieren. ``app_group_id`` wird
+    nullbar (eine Zuordnung auf das Kennzeichen zeigt auf keine Gruppe), und
+    ``grants_admin`` sagt, dass genau das gemeint ist.
+    """
+    spalten = {
+        str(zeile[1]) for zeile in conn.execute("PRAGMA table_info(ldap_group_mappings)")
+    }
+    if "grants_admin" in spalten:
+        return
+    conn.execute(
+        """
+        CREATE TABLE ldap_group_mappings_neu (
+            id            INTEGER PRIMARY KEY AUTOINCREMENT,
+            ad_group_dn   TEXT    NOT NULL UNIQUE,
+            ad_group_name TEXT    NOT NULL,
+            app_group_id  INTEGER REFERENCES groups(id) ON DELETE CASCADE,
+            grants_admin  INTEGER NOT NULL DEFAULT 0,
+            created_at    TEXT    NOT NULL
+        )
+        """
+    )
+    conn.execute(
+        "INSERT INTO ldap_group_mappings_neu "
+        "(id, ad_group_dn, ad_group_name, app_group_id, grants_admin, created_at) "
+        "SELECT id, ad_group_dn, ad_group_name, app_group_id, 0, created_at "
+        "  FROM ldap_group_mappings"
+    )
+    conn.execute("DROP TABLE ldap_group_mappings")
+    conn.execute("ALTER TABLE ldap_group_mappings_neu RENAME TO ldap_group_mappings")
+
+
+def teile_rechte_auf(conn) -> None:  # type: ignore[no-untyped-def]
+    """Verteilt ein altes Sammelrecht auf die Zeilen, die daraus wurden.
+
+    Additiv: wer ``dhcp.edit`` hatte, bekommt alle fuenf DHCP-Zeilen, und das
+    alte Recht verschwindet. Ohne diesen Schritt stuende in der Gruppe ein
+    Schluessel, den der Baum nicht kennt -- und weg waere er still, denn genau
+    das tut :meth:`PermissionTree.sanitize` mit Unbekanntem.
+
+    Laeuft nach ``benenne_rechte_um``: die Tabelle nennt beide Schreibweisen,
+    wo es darauf ankommt, und ein zweiter Lauf findet nichts mehr zu tun.
+    """
+    from .rbac.legacy_permissions import (
+        ERWEITERTE_RECHTE,
+        GETEILTE_RECHTE,
+        neue_schluessel,
+    )
+
+    def gruppen_mit(recht: str) -> list[int]:
+        return [
+            int(zeile[0])
+            for zeile in conn.execute(
+                "SELECT DISTINCT group_id FROM group_permissions WHERE permission=?",
+                (recht,),
+            ).fetchall()
+        ]
+
+    # Geteilt: das alte Recht gibt es nicht mehr, also ersetzen.
+    for altes, neue in GETEILTE_RECHTE.items():
+        gruppen = gruppen_mit(altes)
+        if not gruppen:
+            continue
+        conn.executemany(
+            "INSERT OR IGNORE INTO group_permissions (group_id, permission) VALUES (?,?)",
+            [(gid, recht) for gid in gruppen for recht in neue],
+        )
+        conn.execute("DELETE FROM group_permissions WHERE permission=?", (altes,))
+
+    # Erweitert: das Recht bleibt und bekommt dazu, was bisher an ihm hing.
+    # Loeschen waere hier falsch -- es ist keines von gestern.
+    for recht, dazu in ERWEITERTE_RECHTE.items():
+        gruppen = gruppen_mit(recht)
+        if not gruppen:
+            continue
+        conn.executemany(
+            "INSERT OR IGNORE INTO group_permissions (group_id, permission) VALUES (?,?)",
+            [(gid, weiteres) for gid in gruppen for weiteres in dazu],
+        )
+    assert neue_schluessel  # in derselben Tabelle nachgeschlagen wie beim Import
+
+
 CORE_MIGRATIONS: tuple[Migration, ...] = (
-    Migration(version=1, name="baseline", sql=V1_BASELINE),
+    Migration(
+        version=1,
+        name="baseline",
+        sql=V1_BASELINE,
+        geaendert_weil=(
+            "Das Grundschema legt ldap_group_mappings jetzt mit grants_admin und nullbarer app_group_id an -- eine neue Installation soll nicht erst core/6 brauchen, um die Tabelle wieder umzubauen."
+        ),
+    ),
    Migration(version=2, name="trusted-issuer-keys", sql=V2_TRUSTED_KEYS),
    Migration(version=3, name="jobs", sql=V3_JOBS),
+    Migration(version=4, name="rechte-read-write", fn=benenne_rechte_um),
+    Migration(version=5, name="rechte-je-funktion", fn=teile_rechte_auf),
+    Migration(version=6, name="ldap-kennzeichen", fn=zuordnung_auf_kennzeichen),
 )
@@ -80,8 +80,8 @@ class Database:
        """Oeffnet eine neue Verbindung. Nicht aufrufen, solange eine Transaktion laeuft."""
        if self._depth() > 0:
            raise NestedConnectionError(
-                "Es laeuft bereits eine Schreibtransaktion auf dieser Datenbank. "
-                "Reiche die bestehende Verbindung durch, statt eine neue zu oeffnen "
+                "Es läuft bereits eine Schreibtransaktion auf dieser Datenbank. "
+                "Reiche die bestehende Verbindung durch, statt eine neue zu öffnen "
                "(sonst blockiert SQLite sich selbst)."
            )
        return self._raw_connect()
@@ -119,6 +119,29 @@ class Database:
        finally:
            conn.close()

+    @contextmanager
+    def dauerhaft(self, conn: sqlite3.Connection) -> Iterator[sqlite3.Connection]:
+        """Fuer Schreibvorgaenge, die einen Stromausfall ueberstehen muessen.
+
+        Im Alltag laeuft die Datenbank mit ``synchronous=NORMAL``: schnell, und
+        bei einem Stromausfall gehen hoechstens die letzten Sekunden verloren --
+        die Datei bleibt heil. Fuer einen Messwert ist das genau richtig.
+
+        Fuer eine Unterschrift nicht. Dort liegt die Datei anschliessend auf der
+        Freigabe, und fehlte der Eintrag dazu, waere sie "unbekannt" statt
+        nachweisbar. Ein fsync kostet ein paar Millisekunden -- bei ein paar
+        Unterschriften am Tag ist das keine Diskussion wert.
+
+        Umschliesst die Transaktion, nicht umgekehrt: ``PRAGMA synchronous``
+        wirkt auf den naechsten Commit, und gesetzt werden kann es nur
+        ausserhalb einer laufenden Transaktion.
+        """
+        conn.execute("PRAGMA synchronous=FULL")
+        try:
+            yield conn
+        finally:
+            conn.execute("PRAGMA synchronous=NORMAL")
+
    # ------------------------------------------------------------------ #
    # Transaktionen
    # ------------------------------------------------------------------ #
@@ -79,7 +79,7 @@ def core(app: Flask | None = None) -> TesmCore:
    try:
        return target.extensions["tesm"]  # type: ignore[return-value]
    except KeyError as exc:  # pragma: no cover - Programmierfehler
-        raise RuntimeError("tesm_core ist fuer diese Anwendung nicht initialisiert") from exc
+        raise RuntimeError("tesm_core ist für diese Anwendung nicht initialisiert") from exc


 def db() -> sqlite3.Connection:
@@ -78,7 +78,7 @@ def check_private_file(path: Path) -> list[str]:
    except OSError:
        return problems
    if mode & (stat.S_IRGRP | stat.S_IROTH | stat.S_IWGRP | stat.S_IWOTH):
-        problems.append(f"{path} ist fuer Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
+        problems.append(f"{path} ist für Gruppe/Andere lesbar oder schreibbar (erwartet 0600)")
    return problems


@@ -110,11 +110,11 @@ class Keystore:
                    created_at=str(entry.get("created_at", "")),
                )
                if len(key.material) != _KEY_BYTES:
-                    raise ValueError(f"Schluessel {key.key_id} hat die falsche Laenge")
+                    raise ValueError(f"Schlüssel {key.key_id} hat die falsche Länge")
                self._keys[key.key_id] = key
            self._active = str(raw.get("active") or "")
            if self._active not in self._keys:
-                raise ValueError("Aktiver Schluessel fehlt im Schluesselbund")
+                raise ValueError("Aktiver Schlüssel fehlt im Schlüsselbund")
            return
        self._active = "1"
        self._keys = {
@@ -160,7 +160,7 @@ class Keystore:
    def drop_key(self, key_id: str) -> None:
        """Entfernt einen alten Schluessel -- erst nach vollstaendiger Neuverschluesselung."""
        if key_id == self._active:
-            raise ValueError("Der aktive Schluessel kann nicht entfernt werden")
+            raise ValueError("Der aktive Schlüssel kann nicht entfernt werden")
        self._keys.pop(key_id, None)
        self._persist()

@@ -183,14 +183,14 @@ class Keystore:
            raise DecryptionError(f"Unbekannte Chiffrat-Version: {prefix!r}")
        key = self._keys.get(key_id)
        if key is None:
-            raise DecryptionError(f"Schluessel {key_id} ist nicht im Schluesselbund")
+            raise DecryptionError(f"Schlüssel {key_id} ist nicht im Schlüsselbund")
        try:
            plain = AESGCM(key.material).decrypt(
                _b64d(nonce_b64), _b64d(ct_b64), aad.encode("utf-8")
            )
        except (InvalidTag, ValueError) as exc:
            raise DecryptionError(
-                "Chiffrat konnte nicht entschluesselt werden (falscher Schluessel, "
+                "Chiffrat konnte nicht entschlüsselt werden (falscher Schlüssel, "
                "manipulierte Daten oder falscher Verwendungszweck)"
            ) from exc
        return plain.decode("utf-8")
@@ -0,0 +1,242 @@
+"""Alte, deutsche Adressen auf die neuen englischen umlenken.
+
+Mit 2.5.0 folgen die Adressen der Navigation und sind englisch:
+``/monitoring/host-keys`` statt ``/hostschluessel``. Das ist eine gute
+Aenderung und eine unangenehme zugleich -- Lesezeichen, offene Browsertabs und
+ein Link in einer Mail zeigen weiter auf die alte Adresse. Ein offener Tab ist
+dabei der unangenehmste Fall: die Statusuebersicht fragt alle 20 Sekunden ihre
+Kacheln ab und bekam nach dem Update jedes Mal einen 404.
+
+Deshalb diese Tabelle. Sie greift **nur, wenn sonst ein 404 herauskaeme** --
+also nie vor einer bestehenden Route. Das ist keine Feinheit: auf dem
+Lizenzserver ist ``/lizenz/<ticket>`` eine echte, weiterhin gueltige Adresse
+(sie steht in verschickten Mails), waehrend dieselbe Wurzel in TESM zur
+Lizenzseite fuehrte. Wer zuerst das Routing fragt, muss sich nicht zwischen
+beidem entscheiden.
+
+Die Tabelle ist bewusst vollstaendig und nicht nur auf Wurzeln gekuerzt: eine
+Umleitung von ``/dateifreigaben/x/vorschau`` auf eine Uebersichtsseite waere
+zwar kein 404 mehr, aber auch nicht das, was jemand angeklickt hat.
+"""
+
+from __future__ import annotations
+
+from typing import Mapping
+
+#: Alte Wurzel -> (neue Wurzel, Uebersetzung der Segmente darunter).
+WURZELN: dict[str, tuple[str, Mapping[str, str]]] = {
+    "/dateifreigaben": (
+        "/fileshares",
+        {
+            "herunterladen": "download",
+            "vorschau": "preview",
+            "hochladen": "upload",
+            "formular": "form",
+            "ordner": "folder",
+            "umbenennen": "rename",
+            "loeschen": "delete",
+            "freigeben": "release",
+            "zuordnungen": "mappings",
+        },
+    ),
+    "/hostschluessel": (
+        "/monitoring/host-keys",
+        {"pruefen": "probe", "freigeben": "trust", "verwerfen": "forget", "verwaist": "orphaned"},
+    ),
+    "/zugangsdaten": (
+        "/monitoring/credentials",
+        {"neu": "new", "loeschen": "delete", "anzeigen": "reveal"},
+    ),
+    "/switche": (
+        "/monitoring/switches",
+        {
+            "neu": "new",
+            "loeschen": "delete",
+            "hostkey": "host-key",
+            "pruefen": "probe",
+            "freigeben": "trust",
+            "verwerfen": "forget",
+            "kommando": "command",
+            "konsole": "console",
+        },
+    ),
+    "/clients": (
+        "/monitoring/clients",
+        {
+            "neu": "new",
+            "aktiv": "active",
+            "loeschen": "delete",
+            "neustart": "restart",
+            "hostkey": "host-key",
+            "pruefen": "probe",
+            "freigeben": "trust",
+            "verwerfen": "forget",
+            "konsole": "console",
+        },
+    ),
+    "/wartung": (
+        "/maintenance",
+        {
+            "paket-nachinstallieren": "install-package",
+            "auftrag": "job",
+            "ausgabe": "output",
+            "aktualisieren": "update",
+            "neustarten": "restart",
+        },
+    ),
+    "/protokolle": (
+        "/logs",
+        {
+            "kea": "dhcp",
+            "neustarts": "restarts",
+            "laufend": "live",
+            "inhalt": "content",
+            "verlauf": "history",
+            "datei": "file",
+            "archiv": "archive",
+            "archiv-export": "archive-export",
+            "archiv-loeschen": "archive-delete",
+            "aenderungen": "audit",
+        },
+    ),
+    "/verwaltung": (
+        "/administration",
+        {
+            "benutzer": "users",
+            "neu": "new",
+            "loeschen": "delete",
+            "sitzungen-beenden": "end-sessions",
+            "verzeichnis-suche": "directory-search",
+            "verzeichnis-uebernehmen": "directory-import",
+            "gruppen": "groups",
+            "vorlage-anwenden": "apply-preset",
+            "sitzungen": "sessions",
+            "beenden": "end",
+        },
+    ),
+    "/einstellungen": (
+        "/administration",
+        {
+            "zeitzone": "timezone",
+            "pruefung-jetzt": "check-now",
+            "netzwerk": "network",
+            "bestaetigen": "confirm",
+            "webserver": "web",
+            "uebernehmen": "apply",
+            "zertifikat": "certificate",
+            "selbstsigniert": "self-signed",
+            "verzeichnisdienst": "directory",
+            "gruppensuche": "group-search",
+            "zuordnung": "mapping",
+            "loeschen": "delete",
+            "anbieter": "vendor",
+            "logo-entfernen": "remove-logo",
+        },
+    ),
+    "/sicherung": (
+        "/administration/backup",
+        {"vorschau": "preview", "uebernehmen": "apply", "verwerfen": "discard"},
+    ),
+    "/papierkorb": (
+        "/administration/trash",
+        {"wiederherstellen": "restore", "endgueltig-loeschen": "purge", "leeren": "empty"},
+    ),
+    "/diagnose": (
+        "/administration/diagnostics",
+        {"aufraeumen": "cleanup", "schluessel-rotieren": "rotate-keys"},
+    ),
+    "/eigene-lizenz": (
+        "/own-license",
+        {
+            "einspielen": "install",
+            "aktivieren": "activate",
+            "deaktivieren": "deactivate",
+            "offline-antwort": "offline-response",
+            "signaturschluessel": "signing-key",
+        },
+    ),
+    "/lizenzen": (
+        "/licenses",
+        {
+            "aus-ticket": "from-ticket",
+            "datei": "file",
+            "neu-signieren": "resign",
+            "widerrufen": "revoke",
+            "loeschen": "delete",
+            "versenden": "send",
+            "sub-lizenzserver": "sub-servers",
+        },
+    ),
+    "/lizenz": (
+        "/administration/license",
+        {
+            "einspielen": "install",
+            "aktivieren": "activate",
+            "deaktivieren": "deactivate",
+            "offline-antwort": "offline-response",
+            "serverzertifikat": "server-certificate",
+            "aussteller": "issuer",
+            "entfernen": "remove",
+        },
+    ),
+    "/kunden": ("/customers", {"neu": "new", "loeschen": "delete"}),
+    "/konto": (
+        "/account",
+        {
+            "stammdaten": "profile",
+            "profilbild": "avatar",
+            "sicherheit": "security",
+            "passwort": "password",
+            "zwei-faktor": "two-factor",
+            "starten": "start",
+            "bestaetigen": "confirm",
+            "deaktivieren": "disable",
+            "codes-erneuern": "recovery-codes",
+            "sitzungen": "sessions",
+            "beenden": "end",
+            "alle-beenden": "end-all",
+        },
+    ),
+    "/uebersicht": ("/overview", {"kacheln": "tiles"}),
+    "/gesundheit": ("/health", {}),
+    "/bestaetigen": ("/confirm", {}),
+}
+
+#: Abfrageparameter, die mit umbenannt wurden.
+PARAMETER = {
+    "freigabe": "share",
+    "pfad": "path",
+    "aktion": "action",
+    "benutzer": "actor",
+    "stufe": "severity",
+    "seite": "page",
+    "methode": "method",
+    "kunde": "customer",
+    "freischalten": "unlocked",
+}
+
+
+#: Wurzeln, unter denen eine unbekannte Unterseite **nicht** umgelenkt wird.
+#: ``/lizenz/<ticket>`` ist auf dem Lizenzserver eine echte Adresse; ein
+#: abgelaufenes oder falsches Ticket gehoert dort auf die Fehlerseite und nicht
+#: in die Verwaltung.
+STRENG = {"/lizenz"}
+
+
+def neue_adresse(pfad: str) -> str | None:
+    """Uebersetzt eine alte Adresse -- oder ``None``, wenn es keine ist."""
+    for alt, (neu, segmente) in WURZELN.items():
+        if pfad != alt and not pfad.startswith(alt + "/"):
+            continue
+        rest = pfad[len(alt) :]
+        teile = rest.split("/")
+        if alt in STRENG:
+            erstes = next((teil for teil in teile if teil), "")
+            if erstes and erstes not in segmente:
+                return None
+        return neu + "/".join(segmente.get(teil, teil) for teil in teile)
+    return None
+
+
+def neue_parameter(args: Mapping[str, str]) -> dict[str, str]:
+    return {PARAMETER.get(name, name): wert for name, wert in args.items()}
@@ -68,10 +68,10 @@ API_PATHS = {
 #: die einzige Wahrheit -- Templates lesen sie, Routen erzwingen sie.
 LICENSED_FEATURES: dict[str, str] = {
    "directory": "Verzeichnisanmeldung (LDAP/AD) konfigurieren",
-    "nginx": "Webserver-Einstellungen aendern",
+    "nginx": "Webserver-Einstellungen ändern",
    "export": "Daten exportieren",
-    "trash_restore": "Papierkorb wiederherstellen und endgueltig loeschen",
-    "monitor_interval": "Pruefintervall der Ueberwachung aendern",
+    "trash_restore": "Papierkorb wiederherstellen und endgültig löschen",
+    "monitor_interval": "Prüfintervall der Überwachung ändern",
    "auto_poe_restart": "Automatischer PoE-Neustart bei Ausfall",
 }

@@ -85,7 +85,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
    """
    text = str(exc)
    if "CERTIFICATE_VERIFY_FAILED" in text or "certificate verify failed" in text:
-        detail = "Das Zertifikat konnte nicht geprueft werden"
+        detail = "Das Zertifikat konnte nicht geprüft werden"
        if "self-signed" in text or "self signed" in text:
            detail = "Der Lizenzserver benutzt ein selbstsigniertes Zertifikat"
        return (
@@ -94,7 +94,7 @@ def describe_transport_error(exc: BaseException, endpoint: str) -> str:
            "einer anerkannten Stelle."
        )
    if "Name or service not known" in text or "nodename nor servname" in text:
-        return f"Der Name im Endpunkt ({endpoint}) laesst sich nicht aufloesen."
+        return f"Der Name im Endpunkt ({endpoint}) lässt sich nicht auflösen."
    if "Connection refused" in text:
        return f"{endpoint} nimmt keine Verbindung an."
    if "timed out" in text or "timeout" in text.lower():
@@ -257,8 +257,8 @@ class LicenseManager:
    def require(self, feature: str) -> None:
        if not self.feature_allowed(feature):
            raise LicenseError(
-                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gueltige, "
-                "aktivierte Lizenz nicht moeglich."
+                f"{LICENSED_FEATURES.get(feature, feature)} ist ohne gültige, "
+                "aktivierte Lizenz nicht möglich."
            )

    # ------------------------------------------------------------------ #
@@ -284,7 +284,7 @@ class LicenseManager:
        try:
            payload = json.loads(text)
        except ValueError as exc:
-            raise LicenseError("Die Datei ist kein gueltiges JSON.") from exc
+            raise LicenseError("Die Datei ist kein gültiges JSON.") from exc

        try:
            document, client_key = lic.split_bundle(payload)
@@ -294,20 +294,20 @@ class LicenseManager:
        try:
            lic.verify_license(document)  # innere Konsistenz
        except lic.LicensingError as exc:
-            raise LicenseError(f"Die Lizenzdatei ist ungueltig: {exc}") from exc
+            raise LicenseError(f"Die Lizenzdatei ist ungültig: {exc}") from exc

        master_pubkey = str(document.get("master_pubkey") or "")
        known = self.trusted_keys(conn)
        if known and master_pubkey not in set(known) and not allow_new_issuer:
            raise LicenseError(
                "Diese Lizenz wurde von einem anderen Lizenzserver ausgestellt "
-                f"(Schluessel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
-                "Wechsel des Ausstellers ausdruecklich bestaetigen."
+                f"(Schlüssel {lic.key_id(master_pubkey)}). Ein Administrator muss den "
+                "Wechsel des Ausstellers ausdrücklich bestätigen."
            )

        if not client_key and not self.key_path.is_file():
            raise LicenseError(
-                "Der Datei fehlt der Client-Schluessel. Bitte das vollstaendige "
+                "Der Datei fehlt der Client-Schlüssel. Bitte das vollständige "
                "Lizenz-Bundle des Lizenzservers verwenden."
            )

@@ -332,7 +332,7 @@ class LicenseManager:
                actor=actor,
                action="license.issuer_pinned",
                target=lic.key_id(master_pubkey),
-                detail="Trust on first use" if not known else "Aussteller-Wechsel bestaetigt",
+                detail="Trust on first use" if not known else "Aussteller-Wechsel bestätigt",
                severity="notice",
            )

@@ -397,11 +397,11 @@ class LicenseManager:
        self, action: str, *, hostname: str = "", report: dict[str, Any] | None = None
    ) -> dict[str, Any]:
        if not self._state.valid:
-            raise LicenseError("Es ist keine gueltige Lizenz installiert.")
+            raise LicenseError("Es ist keine gültige Lizenz installiert.")
        key = self.client_key()
        if not key:
            raise LicenseError(
-                "Der Client-Schluessel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
+                "Der Client-Schlüssel dieser Lizenz fehlt. Bitte die Lizenzdatei erneut importieren."
            )
        return lic.build_client_request(
            action, self._state.document, key, hostname=hostname, report=report
@@ -442,8 +442,8 @@ class LicenseManager:
                )
        else:
            reason = (
-                "In dieser Lizenz ist kein Lizenzserver hinterlegt -- sie kann sich nur "
-                "ueber den Offline-Weg aktivieren."
+                "In dieser Lizenz ist kein Lizenzserver hinterlegt – sie kann sich nur "
+                "über den Offline-Weg aktivieren."
            )

        # Offline-Weg: Anfrage merken -- **mit** dem Code. Zwischen Anfrage und
@@ -475,7 +475,7 @@ class LicenseManager:
            "code": code,
            "message": (
                (reason + " " if reason else "")
-                + "Der Offline-Weg steht offen: uebermitteln Sie den angezeigten Code an "
+                + "Der Offline-Weg steht offen: übermitteln Sie den angezeigten Code an "
                "Ihren Ansprechpartner und tragen Sie die Antwort hier ein."
            ),
        }
@@ -527,7 +527,7 @@ class LicenseManager:
                current_seq=current_seq,
            )
        except lic.LicensingError as exc:
-            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gueltig: {exc}") from exc
+            raise LicenseError(f"Die Antwort des Lizenzservers ist nicht gültig: {exc}") from exc

        status = str(response.get("status") or "")
        detail = str(response.get("detail") or "")
@@ -597,7 +597,7 @@ class LicenseManager:
                actor=actor,
            )
            self.settings.set(conn, SETTING_HEARTBEAT_ERROR, "", actor=actor)
-            message = "Verbindung zum Lizenzserver bestaetigt."
+            message = "Verbindung zum Lizenzserver bestätigt."

        self.settings.set(conn, SETTING_PENDING, "", actor=actor)
        # Ein erfolgreicher Heartbeat laeuft alle paar Minuten und ist kein
@@ -648,7 +648,7 @@ class LicenseManager:
        url: str, payload: dict[str, Any], *, timeout: int, ca_pem: str = ""
    ) -> dict[str, Any]:
        if not url.startswith(("https://", "http://")):
-            raise ValueError("Ungueltiger Endpunkt")
+            raise ValueError("Ungültiger Endpunkt")
        data = json.dumps(payload).encode("utf-8")
        request = urllib.request.Request(  # noqa: S310 - Schema oben geprueft
            url,
@@ -748,7 +748,7 @@ class LicenseManager:
            }
        if not state.valid:
            return {
-                "label": "Lizenz ungueltig",
+                "label": "Lizenz ungültig",
                "css_class": "status-pill--danger",
                "dot": "1",
                "dot_class": "status-pill__dot--pulse",
@@ -773,29 +773,29 @@ class LicenseManager:
                "dot": "1",
                "dot_class": "status-pill__dot--pulse",
                "title": (
-                    "Die Kulanzfrist laeuft noch, Funktionen bleiben vorerst verfuegbar."
+                    "Die Kulanzfrist läuft noch, Funktionen bleiben vorerst verfügbar."
                    if status.grace_active
                    else "Lizenzpflichtige Funktionen sind abgeschaltet."
                ),
            }
        if status.expiring_soon:
            return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                "css_class": "status-pill--warning",
                "dot": "1",
                "dot_class": "status-pill__dot--pulse",
-                "title": "Bitte rechtzeitig verlaengern.",
+                "title": "Bitte rechtzeitig verlängern.",
            }
        # Zwischen der Warnschwelle und 90 Tagen: gruen, rein als Hinweis. Wer
        # eine Verlaengerung im Voraus plant, will das Datum sehen, ohne dass es
        # nach einem Problem aussieht.
        if status.days_left is not None and 0 < status.days_left <= EXPIRY_HINT_DAYS:
            return {
-                "label": f"Lizenz laeuft in {status.days_left} Tagen ab",
+                "label": f"Lizenz läuft in {status.days_left} Tagen ab",
                "css_class": "",
                "dot": "1",
                "dot_class": "",
-                "title": "Nur ein Hinweis -- es ist nichts eingeschraenkt.",
+                "title": "Nur ein Hinweis – es ist nichts eingeschränkt.",
            }
        if state.last_heartbeat_at:
            try:
@@ -809,6 +809,6 @@ class LicenseManager:
                    "css_class": "status-pill--warning",
                    "dot": "1",
                    "dot_class": "",
-                    "title": "Rein informativ -- es wird nichts abgeschaltet.",
+                    "title": "Rein informativ – es wird nichts abgeschaltet.",
                }
        return None
@@ -94,7 +94,7 @@ def init_app(app: Flask, *, log_dir: Path, debug: bool, json_logs: bool = False)
            except OSError:
                pass
    except OSError as exc:  # pragma: no cover - z. B. fehlende Rechte
-        root.warning("Konnte app.log nicht oeffnen: %s", exc)
+        root.warning("Konnte app.log nicht öffnen: %s", exc)

    # Zugriffsprotokoll separat: eine Zeile pro Anfrage, ohne Stacktraces.
    access = logging.getLogger(ACCESS_LOGGER)
@@ -50,6 +50,12 @@ class Migration:
    sql: str = ""
    fn: MigrationFn | None = None
    allow_integrity_error: bool = False
+    #: Begruendung, falls der Text einer bereits angewendeten Migration
+    #: absichtlich geaendert wurde -- etwa weil eine frische Installation
+    #: mit der neuen Schreibweise starten muss. Ohne Begruendung warnt der
+    #: Lauf, und das soll er auch: ein stiller Umbau einer angewendeten
+    #: Migration ist fast immer ein Versehen.
+    geaendert_weil: str = ""
    tags: tuple[str, ...] = field(default=())

    @property
@@ -175,17 +181,33 @@ class MigrationRunner:
                record = known.get(migration.version)
                if record is not None:
                    if record["checksum"] != migration.checksum:
-                        logger.warning(
-                            "Migration %s/%s (%s) wurde nachtraeglich geaendert "
-                            "(Pruefsumme %s != %s). Bereits angewendete Migrationen werden "
-                            "nicht erneut ausgefuehrt -- neue Aenderungen brauchen eine neue "
-                            "Versionsnummer.",
-                            component,
-                            migration.version,
-                            migration.name,
-                            record["checksum"],
-                            migration.checksum,
-                        )
+                        if migration.geaendert_weil:
+                            # Mit Begruendung ist es eine Notiz, keine Warnung:
+                            # manchmal muss der Text einer laengst angewendeten
+                            # Migration mit, damit eine **frische** Installation
+                            # denselben Stand erreicht. Wer das Protokoll liest,
+                            # soll den Unterschied zu einem Versehen sehen.
+                            logger.info(
+                                "Migration %s/%s (%s) wurde absichtlich geändert: %s "
+                                "Auf dieser Installation ist sie längst angewendet und "
+                                "wird nicht erneut ausgeführt.",
+                                component,
+                                migration.version,
+                                migration.name,
+                                migration.geaendert_weil,
+                            )
+                        else:
+                            logger.warning(
+                                "Migration %s/%s (%s) wurde nachträglich geändert "
+                                "(Prüfsumme %s != %s). Bereits angewendete Migrationen werden "
+                                "nicht erneut ausgeführt – neue Änderungen brauchen eine neue "
+                                "Versionsnummer.",
+                                component,
+                                migration.version,
+                                migration.name,
+                                record["checksum"],
+                                migration.checksum,
+                            )
                    continue

                try:
@@ -210,7 +232,7 @@ class MigrationRunner:
                        raise
                    logger.error(
                        "Migration %s/%s (%s) konnte wegen bestehender Altdaten nicht "
-                        "angewendet werden. Der Start laeuft weiter; die Daten muessen "
+                        "angewendet werden. Der Start läuft weiter; die Daten müssen "
                        "manuell bereinigt werden.",
                        component,
                        migration.version,
@@ -16,10 +16,10 @@ A = Action
 USERS = Resource(
    key="users",
    label="Benutzer",
-    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE),
    hint="Konten anlegen, sperren, Gruppen zuordnen",
    action_hints={
-        A.EDIT: "Stammdaten, Sperre und Gruppenzuordnung aendern.",
+        A.WRITE: "Stammdaten, Sperre und Gruppenzuordnung ändern.",
        A.DELETE: "Konto in den Papierkorb legen (Verzeichniskonten sofort entfernen).",
    },
 )
@@ -27,35 +27,46 @@ USERS = Resource(
 GROUPS = Resource(
    key="groups",
    label="Gruppen und Rechte",
-    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
+    actions=(A.READ, A.CREATE, A.WRITE, A.DELETE),
    hint="Rechtematrix pflegen",
    action_hints={
-        A.EDIT: "Rechte vergeben -- nur Rechte, die man selbst besitzt.",
+        A.WRITE: "Rechte vergeben – nur Rechte, die man selbst besitzt.",
    },
 )

 SETTINGS_SYSTEM = Resource(
    key="settings_system",
    label="Systemeinstellungen",
-    actions=(A.VIEW, A.EDIT, A.EXECUTE),
-    hint="Hostname, Zeitzone, Protokollrotation, Navigation",
-    action_hints={A.EXECUTE: "Systemaktionen ausloesen (Dienste, Netzwerk uebernehmen)."},
+    actions=(A.READ, A.WRITE, A.EXECUTE),
+    hint="Hostname, Zeitzone, Protokollrotation, Sitzungsdauer",
+    action_hints={A.EXECUTE: "Systemaktionen auslösen (Dienste, Netzwerk übernehmen)."},
+)
+
+#: Die Reihenfolge des Menues lief unter "Systemaktionen auslösen" mit -- also
+#: unter demselben Recht wie das Aendern des Hostnamens. Es ist aber das
+#: harmloseste, was man in der Verwaltung tun kann, und das haeufigste.
+SETTINGS_NAV = Resource(
+    key="settings_nav",
+    parent="settings_system",
+    label="Navigation",
+    actions=(A.READ, A.WRITE),
+    hint="Reihenfolge der Menüpunkte und ihrer Unterpunkte",
 )

 SETTINGS_LICENSE = Resource(
    key="settings_license",
    label="Lizenz",
-    actions=(A.VIEW, A.EDIT),
+    actions=(A.READ, A.WRITE),
    hint="Lizenzdatei einspielen, aktivieren, deaktivieren",
 )

 SETTINGS_DIRECTORY = Resource(
    key="settings_directory",
    label="Verzeichnisdienst (LDAP/AD)",
-    actions=(A.VIEW, A.EDIT, A.EXECUTE, A.SECRETS),
+    actions=(A.READ, A.WRITE, A.EXECUTE, A.SECRETS),
    hint="Anbindung und Gruppen-Zuordnung",
    action_hints={
-        A.EXECUTE: "Verbindungstest ausfuehren.",
+        A.EXECUTE: "Verbindungstest ausführen.",
        A.SECRETS: "Bind-Passwort des Dienstkontos setzen.",
    },
 )
@@ -63,67 +74,78 @@ SETTINGS_DIRECTORY = Resource(
 SETTINGS_WEB = Resource(
    key="settings_web",
    label="Webserver und TLS",
-    actions=(A.VIEW, A.EDIT, A.EXECUTE),
+    actions=(A.READ, A.WRITE, A.EXECUTE),
    hint="Domain, Zertifikat, HSTS",
-    action_hints={A.EXECUTE: "Konfiguration uebernehmen, Zertifikat anfordern."},
+    action_hints={A.EXECUTE: "Konfiguration übernehmen, Zertifikat anfordern."},
 )

 SETTINGS_NETWORK = Resource(
    key="settings_network",
    label="Netzwerkeinstellungen",
-    actions=(A.VIEW, A.EDIT),
+    actions=(A.READ, A.WRITE),
    hint="IP-Adresse, Gateway, DNS des Hosts",
 )

-BACKUP = Resource(
-    key="backup",
-    label="Sicherung und Uebertragung",
-    actions=(A.VIEW, A.EXECUTE, A.EXPORT, A.SECRETS),
-    hint="Verschluesselter Export und Import",
+#: Sichern und Einspielen sind zwei Zeilen, weil es zwei Vorgaenge mit sehr
+#: verschiedenen Folgen sind: eine Sicherung zu erzeugen aendert nichts, eine
+#: einzuspielen aendert alles. Sie liefen unter einem Recht, und wer eine
+#: Sicherung ziehen durfte, durfte damit auch eine fremde einspielen.
+BACKUP_EXPORT = Resource(
+    key="backup_export",
+    label="Sicherung erstellen",
+    actions=(A.READ, A.EXPORT, A.SECRETS),
+    hint="Verschlüsselter Export des Datenstands",
    action_hints={
-        A.EXECUTE: "Eine Sicherung einspielen.",
        A.EXPORT: "Sicherung erzeugen und herunterladen.",
-        A.SECRETS: "Zugangsdaten in die Sicherung einschliessen.",
+        A.SECRETS: "Zugangsdaten in die Sicherung einschließen.",
    },
 )

+BACKUP_IMPORT = Resource(
+    key="backup_import",
+    label="Sicherung einspielen",
+    actions=(A.READ, A.EXECUTE),
+    hint="Prüfen, übernehmen, verwerfen",
+    action_hints={A.EXECUTE: "Eine geprüfte Sicherung anwenden."},
+)
+
 TRASH = Resource(
    key="trash",
    label="Papierkorb",
-    actions=(A.VIEW, A.EDIT, A.DELETE),
-    hint="Geloeschtes wiederherstellen oder endgueltig entfernen",
+    actions=(A.READ, A.WRITE, A.DELETE),
+    hint="Gelöschtes wiederherstellen oder endgültig entfernen",
    action_hints={
-        A.EDIT: "Eintraege wiederherstellen.",
-        A.DELETE: "Eintraege endgueltig entfernen.",
+        A.WRITE: "Einträge wiederherstellen.",
+        A.DELETE: "Einträge endgültig entfernen.",
    },
 )

 DIAGNOSTICS = Resource(
    key="diagnostics",
    label="Diagnose",
-    actions=(A.VIEW,),
-    hint="Schemastand, Protokollintegritaet, Schluesselrechte",
+    actions=(A.READ,),
+    hint="Schemastand, Protokollintegrität, Schlüsselrechte",
 )

 LOGS_LIVE = Resource(
    key="logs_live",
    label="Laufendes Protokoll",
-    actions=(A.VIEW,),
+    actions=(A.READ,),
 )

 LOGS_HISTORY = Resource(
    key="logs_history",
    label="Protokollverlauf",
-    actions=(A.VIEW, A.DELETE, A.EXPORT),
+    actions=(A.READ, A.DELETE, A.EXPORT),
    hint="Rotierte und archivierte Protokolle",
    action_hints={A.DELETE: "Archivierte Tage vom Server entfernen."},
 )

 LOGS_AUDIT = Resource(
    key="logs_audit",
-    label="Aenderungsprotokoll",
-    actions=(A.VIEW, A.EXPORT),
-    hint="Wer hat wann was geaendert",
+    label="Änderungsprotokoll",
+    actions=(A.READ, A.EXPORT),
+    hint="Wer hat wann was geändert",
 )


@@ -139,11 +161,13 @@ def administration_area(*extra: Resource) -> Area:
            USERS,
            GROUPS,
            SETTINGS_SYSTEM,
+            SETTINGS_NAV,
            SETTINGS_LICENSE,
            SETTINGS_DIRECTORY,
            SETTINGS_WEB,
            SETTINGS_NETWORK,
-            BACKUP,
+            BACKUP_EXPORT,
+            BACKUP_IMPORT,
            TRASH,
            DIAGNOSTICS,
            *extra,
@@ -0,0 +1,171 @@
+"""Alte Rechteschluessel auf neue -- an einer Stelle, nicht an dreien.
+
+Mit 2.8.0 heisst das Aktionsvokabular durchgehend wie das, was es tut:
+``view`` wurde ``read``, ``edit`` wurde ``write``. Danach steht in der Matrix
+"Write" und im Aenderungsprotokoll ``write``, nicht zweierlei.
+
+Drei Stellen brauchen die Zuordnung, und darum steht sie hier und nicht dort:
+
+* die **Migration**, die bestehende Gruppenzeilen umschreibt,
+* der **Import**, dem eine Sicherung aus 2.7.x untergeschoben wird -- ohne die
+  Zuordnung landen dort lauter unbekannte Schluessel, und
+  :meth:`PermissionTree.sanitize` wirft Unbekanntes absichtlich **still** weg.
+  Aus einer Sicherung wuerden Gruppen ohne Rechte.
+* der **Test**, der prueft, dass kein alter Schluessel mehr im Code steht.
+
+Warum nicht dreimal dieselbe Ersetzung tippen: weil die dritte Kopie beim
+naechsten Umbau vergessen wird. Genau so entstand das Muster bei den Adressen
+(:mod:`tesm_core.legacy_urls`).
+"""
+
+from __future__ import annotations
+
+#: Aktion alt -> neu. Die Ressource bleibt, wie sie heisst.
+UMBENANNTE_AKTIONEN: dict[str, str] = {
+    "view": "read",
+    "edit": "write",
+}
+
+#: Ein altes Recht, das in mehrere neue zerfaellt -- ein Recht je Funktion.
+#:
+#: Die Aufteilung ist **additiv**: wer das alte Recht hatte, bekommt alle
+#: neuen. Niemand verliert etwas; ab jetzt laesst sich jedes Stueck einzeln
+#: vergeben. Der umgekehrte Weg waere auch denkbar gewesen -- nur das
+#: Harmloseste uebernehmen --, waere aber ein Update, das Leuten Rechte
+#: wegnimmt, ohne dass jemand es entschieden hat.
+#:
+#: Die Schluessel stehen fuer beide Anwendungen in einer Tabelle. Auf einer
+#: TESM-Datenbank tut die Zeile fuer ``licenses.write`` nichts, weil sie dort
+#: in keiner Gruppe steht -- und umgekehrt. Zwei getrennte Tabellen waeren
+#: zwei Stellen, die man pflegen muss.
+GETEILTE_RECHTE: dict[str, tuple[str, ...]] = {
+    # Drei Neustartwege mit drei verschiedenen Folgen.
+    "devices.execute": (
+        "device_restart_poe.read",
+        "device_restart_poe.execute",
+        "device_restart_ssh.read",
+        "device_restart_ssh.execute",
+        "device_restart_rpc.read",
+        "device_restart_rpc.execute",
+    ),
+    # Die Switch-Konsole war "Switch ausfuehren".
+    "switches.execute": ("switch_console.read", "switch_console.execute"),
+    # Vier Funktionen: aktualisieren, neu starten, Werkzeug installieren --
+    # und die Client-Konsole, die jetzt bei den Clients steht.
+    "maintenance.read": (
+        "servicing_update.read",
+        "servicing_reboot.read",
+        "servicing_tool.read",
+        "device_console.read",
+    ),
+    "maintenance.execute": (
+        "servicing_update.read",
+        "servicing_update.execute",
+        "servicing_reboot.read",
+        "servicing_reboot.execute",
+        "servicing_tool.read",
+        "servicing_tool.execute",
+        "device_console.read",
+        "device_console.execute",
+    ),
+    # Elf Funktionen an einem Recht.
+    "dhcp.read": (
+        "dhcp_subnets.read",
+        "dhcp_options.read",
+        "dhcp_reservations.read",
+        "dhcp_config.read",
+        "dhcp_service.read",
+    ),
+    "dhcp.write": (
+        "dhcp_subnets.read",
+        "dhcp_subnets.create",
+        "dhcp_subnets.write",
+        "dhcp_subnets.delete",
+        "dhcp_options.read",
+        "dhcp_options.write",
+        "dhcp_reservations.read",
+        "dhcp_reservations.create",
+        "dhcp_reservations.write",
+        "dhcp_reservations.delete",
+        "dhcp_config.read",
+        "dhcp_config.execute",
+    ),
+    "dhcp.execute": ("dhcp_service.read", "dhcp_service.execute"),
+    # Sichern und Einspielen.
+    "backup.read": ("backup_export.read", "backup_import.read"),
+    "backup.export": ("backup_export.read", "backup_export.export"),
+    "backup.secrets": ("backup_export.read", "backup_export.secrets"),
+    "backup.execute": ("backup_import.read", "backup_import.execute"),
+    # Lizenzserver: "aendern" hiess widerrufen **oder** erneuern -- zwei
+    # Eingriffe mit entgegengesetzter Wirkung unter einem Haken.
+    "licenses.create": ("license_issue.read", "license_issue.execute"),
+    "licenses.write": (
+        "license_renew.read",
+        "license_renew.execute",
+        "license_revoke.read",
+        "license_revoke.execute",
+    ),
+    "licenses.execute": ("license_activation.read", "license_activation.execute"),
+}
+
+
+#: Ein Recht, das **bleibt** und bisher noch etwas anderes mitgab.
+#:
+#: Der Unterschied zu :data:`GETEILTE_RECHTE` ist keine Formsache: dort ist der
+#: alte Schluessel verschwunden und muss ersetzt werden, hier gilt er weiter
+#: und bekommt nur Gesellschaft. Beides in eine Tabelle zu werfen hiesse, in
+#: der Migration ein Recht zu loeschen, das es noch gibt -- und im Test nicht
+#: mehr pruefen zu koennen, welcher Fall gemeint war.
+ERWEITERTE_RECHTE: dict[str, tuple[str, ...]] = {
+    # Die Navigationsreihenfolge lief unter "Systemaktionen ausloesen" mit.
+    "settings_system.execute": ("settings_nav.read", "settings_nav.write"),
+    # Einen Host-Schluessel freizugeben hing an den Stammdaten.
+    "devices.write": ("hostkeys.read", "hostkeys.execute"),
+    "switches.write": ("hostkeys.read", "hostkeys.execute"),
+    # Umbenennen war auch "Freigaben zuordnen".
+    "fileshare.write": (
+        "fileshare_mappings.read",
+        "fileshare_mappings.create",
+        "fileshare_mappings.write",
+        "fileshare_mappings.delete",
+    ),
+    # Ausgefuellt ablegen war auch "unterschreiben".
+    "fileshare_pdf.create": ("fileshare_signature.read", "fileshare_signature.execute"),
+}
+
+
+def neue_schluessel(alt: str) -> tuple[str, ...]:
+    """Was aus einem alten Rechteschluessel wird -- eins oder mehrere.
+
+    Unbekanntes kommt unveraendert zurueck: ob ein Schluessel gilt, entscheidet
+    der Rechtebaum, nicht diese Tabelle. Sie benennt nur um.
+    """
+    if alt in GETEILTE_RECHTE:
+        return GETEILTE_RECHTE[alt]
+    ressource, punkt, aktion = alt.rpartition(".")
+    if not punkt:
+        return (alt,)
+    neu = UMBENANNTE_AKTIONEN.get(aktion)
+    selbst = f"{ressource}.{neu}" if neu else alt
+    # Ein Recht, das bleibt, nimmt mit, was es bisher mitgab -- sonst verliert
+    # jemand beim Update genau die Funktion, die vorher an diesem Haken hing.
+    return (selbst, *ERWEITERTE_RECHTE.get(selbst, ()))
+
+
+def umgeschrieben(rechte: object) -> list[str]:
+    """Eine ganze Liste umschreiben, ohne Dubletten und in fester Reihenfolge."""
+    if not isinstance(rechte, (list, tuple, set, frozenset)):
+        return []
+    ergebnis: set[str] = set()
+    for recht in rechte:
+        ergebnis.update(neue_schluessel(str(recht)))
+    return sorted(ergebnis)
+
+
+__all__ = [
+    "UMBENANNTE_AKTIONEN",
+    "GETEILTE_RECHTE",
+    "ERWEITERTE_RECHTE",
+    "neue_schluessel",
+    "umgeschrieben",
+]
@@ -1,6 +1,14 @@
 """Rechtemodell: Bereiche, Ressourcen, Aktionen.

-Das Vorgaengermodell kannte fuenf Spalten (R/W/E/D/X), wobei ``E`` ("Aendern")
+Das Vokabular heisst seit 2.8.0 durchgehend wie das, was es tut: **Read,
+Create, Write, Delete, Execute, Export, Secrets**. Bis dahin hiessen zwei
+Aktionen anders (``view``, ``edit``), waehrend die Matrix "Bearbeiten" zeigte
+und die Kurzfassung "U" -- dieselbe Aktion in drei Schreibweisen. Der
+Kill-Switch eines Bereichs heisst entsprechend ``<bereich>.read``.
+:mod:`tesm_core.rbac.legacy_permissions` schreibt alte Schluessel um; die
+Migration ``core/4`` tut das fuer bestehende Gruppen.
+
+Das Modell vor 2.0 kannte fuenf Spalten (R/W/E/D/X), wobei ``E`` ("Aendern")
 das Loeschen **mit abdeckte** und ``D``/``X`` je nach Zeile etwas voellig anderes
 bedeuteten (Dashboard-Neustart bzw. Export). Das war kompakt, aber:

@@ -15,7 +23,7 @@ Aktionen eine Ressource ueberhaupt kennt, entscheidet die Ressource; die Matrix
 rendert nur die Spalten, die im jeweiligen Bereich wirklich vorkommen.

 Beibehalten wird der bewaehrte **Kill-Switch**: jeder Bereich hat ein
-``<bereich>.view``-Recht. Ohne dieses greift kein einziges Recht innerhalb des
+``<bereich>.read``-Recht. Ohne dieses greift kein einziges Recht innerhalb des
 Bereichs -- unabhaengig davon, was einzeln angehakt ist. Das erlaubt es, einer
 Gruppe einen ganzen Bereich mit einem Klick zu entziehen, ohne die fein
 eingestellten Einzelrechte zu verlieren.
@@ -29,38 +37,68 @@ from typing import Iterable, Mapping, Sequence


 class Action(str, Enum):
-    """Aktionsvokabular. Bedeutung ist ueberall dieselbe -- keine Ausnahmen."""
+    """Aktionsvokabular. Bedeutung ist ueberall dieselbe -- keine Ausnahmen.

-    VIEW = "view"
+    Die Namen sind die englischen, weil sie in jedem Rechtesystem dieselben
+    sind und keiner Uebersetzung bedarf: wer ``write`` liest, weiss es. Zwei
+    hiessen bis 2.7.x anders (``view``, ``edit``) -- in der Matrix stand
+    "Bearbeiten" und im Protokoll ``edit``, also zweierlei fuer dasselbe.
+    :mod:`tesm_core.rbac.legacy_permissions` schreibt die alten Schluessel um.
+    """
+
+    READ = "read"
    CREATE = "create"
-    EDIT = "edit"
+    WRITE = "write"
    DELETE = "delete"
    EXECUTE = "execute"
    EXPORT = "export"
    SECRETS = "secrets"


-#: Kuerzel und Erklaerung je Aktion -- Kopfzeile der Rechtematrix.
-ACTION_META: dict[Action, tuple[str, str, str]] = {
-    Action.VIEW: ("R", "Ansehen", "Datensaetze und Seiten dieses Bereichs lesen."),
-    Action.CREATE: ("C", "Anlegen", "Neue Datensaetze erstellen."),
-    Action.EDIT: ("U", "Bearbeiten", "Bestehende Datensaetze aendern -- ohne Loeschen."),
-    Action.DELETE: ("D", "Loeschen", "Datensaetze loeschen bzw. endgueltig entfernen."),
-    Action.EXECUTE: ("X", "Ausfuehren", "Aktionen ausloesen (Neustart, Dienste, Jobs, Import)."),
-    Action.EXPORT: ("E", "Exportieren", "Daten aus dem System heraustragen (Datei-Download)."),
+#: Kuerzel, englischer Name, deutsche Beschriftung, Erklaerung.
+#:
+#: Beides hat seinen Ort: die Matrix fuehrt die Spalte unter ihrem englischen
+#: Namen (das ist das Vokabular, und es steht so auch im Schluessel), die
+#: Kleinschrift darunter und jeder Satz in der Oberflaeche bleiben deutsch.
+ACTION_META: dict[Action, tuple[str, str, str, str]] = {
+    Action.READ: ("R", "Read", "ansehen", "Datensätze und Seiten dieses Bereichs ansehen."),
+    Action.CREATE: ("C", "Create", "anlegen", "Neue Datensätze anlegen."),
+    Action.WRITE: (
+        "W",
+        "Write",
+        "ändern",
+        "Bestehende Datensätze ändern – ohne Anlegen, ohne Löschen.",
+    ),
+    Action.DELETE: ("D", "Delete", "löschen", "Datensätze löschen bzw. endgültig entfernen."),
+    Action.EXECUTE: (
+        "X",
+        "Execute",
+        "auslösen",
+        "Aktionen auslösen (Neustart, Dienste, Aufträge, Import).",
+    ),
+    Action.EXPORT: (
+        "E",
+        "Export",
+        "mitnehmen",
+        "Daten aus dem System heraustragen (Datei-Download).",
+    ),
    Action.SECRETS: (
        "S",
-        "Geheimnisse",
-        "Passwoerter und Schluessel im Klartext sehen oder mitnehmen.",
+        "Secrets",
+        "Klartext",
+        "Passwörter und Schlüssel im Klartext sehen oder mitnehmen.",
    ),
 }

 #: Aktionen, die zusaetzlich eine frische Passworteingabe verlangen (sudo-Modus).
 SENSITIVE_ACTIONS: frozenset[Action] = frozenset({Action.SECRETS, Action.EXPORT})

-#: ``view`` ist Voraussetzung fuer alles andere in derselben Zeile.
+#: ``read`` ist Voraussetzung fuer alles andere in derselben Zeile. Umgekehrt
+#: gilt nichts: wer anlegen darf, darf damit nicht aendern, und wer aendern
+#: darf, nicht anlegen. Das ist die Trennung, die man in einer
+#: Verwaltungsanwendung am haeufigsten braucht.
 IMPLIED_BY: dict[Action, tuple[Action, ...]] = {
-    action: (Action.VIEW,) for action in Action if action is not Action.VIEW
+    action: (Action.READ,) for action in Action if action is not Action.READ
 }


@@ -74,6 +112,32 @@ class Resource:
    hint: str = ""
    #: Abweichende Erklaerung einzelner Aktionen (z. B. was "Ausfuehren" hier meint).
    action_hints: Mapping[Action, str] = field(default_factory=dict)
+    #: Zu welcher Zeile diese gehoert -- rein fuer die Darstellung.
+    #:
+    #: Aus einer Zeile "Clients" sind sechs geworden (Stammdaten, drei
+    #: Neustartwege, Konsole, Host-Schluessel). Untereinander und alle gleich
+    #: eingerueckt liest man sie als sechs unabhaengige Dinge; eingerueckt
+    #: unter ihrer Hauptzeile sieht man, dass sie zusammengehoeren. Auf die
+    #: Rechte hat das keine Wirkung: jede Zeile bleibt einzeln vergebbar, und
+    #: die Hauptzeile ist **nicht** Voraussetzung fuer ihre Unterzeilen.
+    parent: str = ""
+    #: Aktionen, die hier **keine** frische Passwortbestaetigung verlangen,
+    #: obwohl sie in SENSITIVE_ACTIONS stehen. Bewusst hier und nicht als
+    #: stilles Weglassen in der Route: eine Ausnahme von einer
+    #: Sicherheitsregel gehoert dorthin, wo man sie sieht und begruenden muss.
+    ohne_wiederanmeldung: tuple[Action, ...] = ()
+
+    @property
+    def short_label(self) -> str:
+        """Beschriftung ohne den Namen der Hauptzeile.
+
+        Unter "Clients" steht "Neustart über PoE" und nicht "Clients: Neustart
+        über PoE" -- das Wort stand sonst siebenmal untereinander. Ausserhalb
+        der Matrix (Protokoll, Meldungen) bleibt der vollstaendige Name.
+        """
+        if self.parent and ": " in self.label:
+            return self.label.split(": ", 1)[1]
+        return self.label

    def permission(self, action: Action) -> str:
        return f"{self.key}.{action.value}"
@@ -96,8 +160,9 @@ class Area:
    hint: str = ""

    @property
-    def view_key(self) -> str:
-        return f"{self.key}.view"
+    def read_key(self) -> str:
+        """Der Kill-Switch des Bereichs. Ohne ihn greift keine Zeile darunter."""
+        return f"{self.key}.read"

    def columns(self) -> tuple[Action, ...]:
        """Nur die Aktionen, die in diesem Bereich tatsaechlich vorkommen."""
@@ -123,45 +188,92 @@ class PermissionTree:
        self._parent: dict[str, str] = {}
        self._all: list[str] = []
        self._resources: dict[str, tuple[Area, Resource]] = {}
+        self._verwaltung: frozenset[str] | None = None

        seen_keys: set[str] = set()
        for area in self.areas:
            if area.key in seen_keys:
-                raise ValueError(f"Doppelter Bereichsschluessel: {area.key}")
+                raise ValueError(f"Doppelter Bereichsschlüssel: {area.key}")
            seen_keys.add(area.key)
            self._by_key[area.key] = area
-            self._all.append(area.view_key)
+            self._all.append(area.read_key)
            for resource in area.resources:
                if resource.key in seen_keys:
-                    raise ValueError(f"Doppelter Ressourcenschluessel: {resource.key}")
+                    raise ValueError(f"Doppelter Ressourcenschlüssel: {resource.key}")
                seen_keys.add(resource.key)
-                if Action.VIEW not in resource.actions:
+                if Action.READ not in resource.actions:
                    raise ValueError(
-                        f"Ressource {resource.key} muss die Aktion 'view' anbieten -- "
-                        "sie ist Voraussetzung fuer jede andere Aktion."
+                        f"Ressource {resource.key} muss die Aktion 'read' anbieten – "
+                        "sie ist Voraussetzung für jede andere Aktion."
                    )
                self._resources[resource.key] = (area, resource)
                for permission in resource.permissions():
                    self._all.append(permission)
-                    self._parent[permission] = area.view_key
+                    self._parent[permission] = area.read_key

    # ------------------------------------------------------------------ #

    def all_keys(self) -> tuple[str, ...]:
        return tuple(self._all)

+    #: Der Bereich, den ein echter Administrator immer ganz hat.
+    #:
+    #: Nicht "alles": das Kennzeichen ``is_admin`` gab bisher jede Pruefung
+    #: frei, auch Geraete, DHCP und Dateifreigaben. Ein Administrator ist aber
+    #: jemand, der die **Anlage** verwaltet -- Benutzer, Rechte,
+    #: Einstellungen --, und nicht automatisch jemand, der Maschinen neu
+    #: startet oder in Freigaben liest. Diese Rechte holt er sich ueber eine
+    #: Gruppe, und dann steht es im Aenderungsprotokoll.
+    VERWALTUNGSBEREICH = "administration"
+
+    def verwaltungsrechte(self) -> frozenset[str]:
+        """Alle Rechte des Verwaltungsbereichs, samt seinem Kill-Switch.
+
+        Einmal gerechnet und gemerkt: die Antwort haengt nur am Baum, und der
+        entsteht beim Import.
+        """
+        if self._verwaltung is None:
+            bereich = self._by_key.get(self.VERWALTUNGSBEREICH)
+            if bereich is None:
+                self._verwaltung = frozenset()
+            else:
+                rechte = {bereich.read_key}
+                for resource in bereich.resources:
+                    rechte.update(resource.permissions())
+                self._verwaltung = frozenset(rechte)
+        return self._verwaltung
+
    def area(self, key: str) -> Area | None:
        return self._by_key.get(key)

-    def parent_view_key(self, permission: str) -> str | None:
+    def parent_read_key(self, permission: str) -> str | None:
        return self._parent.get(permission)

    def resource(self, key: str) -> tuple[Area, Resource] | None:
        return self._resources.get(key)

+    def verlangt_wiederanmeldung(self, permission: str) -> bool:
+        """Braucht dieses Recht eine frische Passwortbestaetigung?
+
+        Die Antwort steht im Modell (``SENSITIVE_ACTIONS``) und nicht in der
+        Route -- sonst vergisst sie die naechste, die dazukommt.
+        """
+        resource_key, _, action_value = permission.rpartition(".")
+        entry = self._resources.get(resource_key)
+        if entry is None:
+            return False
+        _, resource = entry
+        try:
+            action = Action(action_value)
+        except ValueError:
+            return False
+        if action in resource.ohne_wiederanmeldung:
+            return False
+        return action in SENSITIVE_ACTIONS
+
    def label_for(self, permission: str) -> str:
        """Menschenlesbare Beschreibung eines Rechteschluessels -- fuer Audit-Logs."""
-        if permission.endswith(".view") and permission[:-5] in self._by_key:
+        if permission.endswith(".read") and permission[:-5] in self._by_key:
            return f"Bereich {self._by_key[permission[:-5]].label}: Zugang"
        resource_key, _, action_value = permission.rpartition(".")
        entry = self._resources.get(resource_key)
@@ -172,7 +284,10 @@ class PermissionTree:
            action = Action(action_value)
        except ValueError:
            return permission
-        return f"{resource.label}: {ACTION_META[action][1]}"
+        # Die deutsche Beschriftung, nicht der englische Name: dieser Text
+        # landet in Saetzen ("Sie koennen kein Recht vergeben ...") und im
+        # Aenderungsprotokoll, und die sind deutsch.
+        return f"{resource.label}: {ACTION_META[action][2]}"

    def sanitize(self, permissions: Iterable[str]) -> list[str]:
        """Wirft unbekannte Rechte weg und ergaenzt implizierte.
@@ -180,7 +295,7 @@ class PermissionTree:
        Regeln:
        * Ein Recht, das nicht im Baum steht, wird verworfen (kein stilles
          Weiterschleppen von Altrechten nach einem Refactoring).
-        * Jede Aktion impliziert ``view`` derselben Zeile.
+        * Jede Aktion impliziert ``read`` derselben Zeile -- aber nur diese.
        * Existiert irgendein Recht eines Bereichs, wird der Kill-Switch des
          Bereichs mitgesetzt -- sonst waere die Auswahl wirkungslos und der
          Bearbeiter wuerde sich wundern.
@@ -200,13 +315,13 @@ class PermissionTree:
                        result.add(candidate)
        for area in self.areas:
            if any(p in result for resource in area.resources for p in resource.permissions()):
-                result.add(area.view_key)
+                result.add(area.read_key)
        return sorted(result)

    def effective(self, permissions: Iterable[str]) -> set[str]:
        """Rechte, die nach Anwendung der Kill-Switches tatsaechlich greifen."""
        granted = set(permissions)
-        active = {key for key in granted if key.endswith(".view") and key[:-5] in self._by_key}
+        active = {key for key in granted if key.endswith(".read") and key[:-5] in self._by_key}
        return {
            key
            for key in granted
@@ -29,7 +29,7 @@ from typing import Any, Iterable, Sequence

 from ..db import Database
 from ..security import passwords
-from .model import Action, PermissionTree, RolePreset
+from .model import ACTION_META, Action, PermissionTree, RolePreset


 class PermissionDenied(Exception):
@@ -124,7 +124,20 @@ def group_permissions(conn: sqlite3.Connection, group_id: int) -> list[str]:
 def guard_no_amplification(
    actor: Any, tree: PermissionTree, added: Iterable[str], *, what: str = "Recht"
 ) -> None:
-    """Verhindert, dass jemand Rechte vergibt, die er selbst nicht besitzt."""
+    """Verhindert, dass jemand Rechte vergibt, die er selbst nicht besitzt.
+
+    Ein echter Administrator darf es -- und das ist seit 2.8.0 die bewusst
+    offene Tuer: sein Kennzeichen gibt ihm den Verwaltungsbereich, die
+    Funktionen holt er sich ueber eine Gruppe, auch fuer sich selbst. Der
+    Unterschied zu vorher ist nicht, *ob* er an die Funktionen kommt, sondern
+    dass es dann eine Zeile im Aenderungsprotokoll gibt und in der Matrix zu
+    sehen ist, statt unsichtbar im Kennzeichen zu stecken.
+
+    Fuer alle anderen bleibt die Regel dicht -- auch fuer die Gruppe
+    "Administration", die Benutzer und Gruppen pflegt: sie kann keiner Gruppe
+    ein Recht geben, das sie nicht selbst hat, und sich damit nicht ueber eine
+    neue Gruppe hochstufen.
+    """
    if getattr(actor, "is_admin", False):
        return
    missing = sorted(p for p in added if not actor.has(p))
@@ -132,7 +145,7 @@ def guard_no_amplification(
        labels = ", ".join(tree.label_for(p) for p in missing[:6])
        more = "" if len(missing) <= 6 else f" (und {len(missing) - 6} weitere)"
        raise PermissionDenied(
-            f"Sie koennen kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
+            f"Sie können kein {what} vergeben, das Sie selbst nicht besitzen: {labels}{more}."
        )


@@ -160,7 +173,7 @@ def create_group(
        if existing["deleted_at"]:
            raise ValidationError(
                f"Eine Gruppe namens {clean_name!r} liegt im Papierkorb. "
-                "Stellen Sie sie wieder her oder loeschen Sie sie endgueltig."
+                "Stellen Sie sie wieder her oder löschen Sie sie endgültig."
            )
        raise ValidationError(f"Eine Gruppe namens {clean_name!r} existiert bereits.")

@@ -205,7 +218,7 @@ def update_group(

    if name is not None and name.strip() != group.name:
        if group.is_system:
-            raise PermissionDenied("Systemgruppen koennen nicht umbenannt werden.")
+            raise PermissionDenied("Systemgruppen können nicht umbenannt werden.")
        clean = name.strip()
        if not clean:
            raise ValidationError("Der Gruppenname darf nicht leer sein.")
@@ -224,13 +237,13 @@ def update_group(
            "UPDATE groups SET description=?, updated_at=? WHERE id=?",
            (description.strip(), _now(), group_id),
        )
-        changes.append("Beschreibung geaendert")
+        changes.append("Beschreibung geändert")

    if permissions is not None:
        if group.is_system and not unlock_system:
            raise PermissionDenied(
                "Die Rechte dieser Systemgruppe sind gesperrt. "
-                "Sie muessen sie zuerst ausdruecklich freischalten."
+                "Sie müssen sie zuerst ausdrücklich freischalten."
            )
        wanted = tree.sanitize(permissions)
        added = sorted(set(wanted) - set(group.permissions))
@@ -240,7 +253,7 @@ def update_group(
            _write_permissions(conn, group_id, wanted)
            conn.execute("UPDATE groups SET updated_at=? WHERE id=?", (_now(), group_id))
            if added:
-                changes.append("Rechte hinzugefuegt: " + ", ".join(tree.label_for(p) for p in added))
+                changes.append("Rechte hinzugefügt: " + ", ".join(tree.label_for(p) for p in added))
            if removed:
                changes.append("Rechte entfernt: " + ", ".join(tree.label_for(p) for p in removed))

@@ -252,7 +265,7 @@ def soft_delete_group(conn: sqlite3.Connection, group_id: int) -> None:
    if group is None:
        raise ValidationError("Diese Gruppe existiert nicht.")
    if group.is_system:
-        raise PermissionDenied("Systemgruppen koennen nicht geloescht werden.")
+        raise PermissionDenied("Systemgruppen können nicht gelöscht werden.")
    conn.execute("UPDATE groups SET deleted_at=? WHERE id=?", (_now(), group_id))


@@ -315,6 +328,49 @@ def ensure_presets(
    return created


+def funktionsgruppe_fuer_administratoren(
+    conn: sqlite3.Connection, tree: PermissionTree, preset: RolePreset
+) -> int:
+    """Legt die Vollzugriffsgruppe an und gibt sie allen Administratoren.
+
+    Der Uebergang zu 2.8.0: bis dahin gab das Kennzeichen ``is_admin`` jede
+    Pruefung frei. Danach gibt es den Verwaltungsbereich, und alles andere
+    kommt ueber Gruppen. Ohne diesen Schritt fehlt einem bestehenden
+    Administrator nach dem Update die halbe Anwendung -- und er haelt das fuer
+    einen Fehler, nicht fuer eine Absicht.
+
+    Auf einer frischen Installation gibt es beim Migrieren noch kein Konto;
+    dann entsteht nur die Gruppe, und wer sie will, weist sie sich zu. Genau so
+    ist die neue Trennung gedacht.
+
+    Gibt die Nummer der Gruppe zurueck.
+    """
+    zeile = Database.one(
+        conn, "SELECT id FROM groups WHERE name=? COLLATE NOCASE", (preset.name,)
+    )
+    if zeile is None:
+        cursor = conn.execute(
+            "INSERT INTO groups (name, description, is_system, is_default, preset_key, "
+            "created_at, updated_at) VALUES (?,?,0,0,?,?,?)",
+            (preset.name, preset.description, preset.key, _now(), _now()),
+        )
+        gruppe = int(cursor.lastrowid or 0)
+        _write_permissions(conn, gruppe, tree.expand_preset(preset))
+    else:
+        gruppe = int(zeile["id"])
+
+    conn.executemany(
+        "INSERT OR IGNORE INTO user_groups (user_id, group_id) VALUES (?,?)",
+        [
+            (int(row["id"]), gruppe)
+            for row in Database.all(
+                conn, "SELECT id FROM users WHERE is_admin=1 AND deleted_at IS NULL"
+            )
+        ],
+    )
+    return gruppe
+
+
 def default_group_id(conn: sqlite3.Connection) -> int | None:
    value = Database.value(
        conn, "SELECT id FROM groups WHERE is_default=1 AND deleted_at IS NULL ORDER BY id LIMIT 1"
@@ -410,7 +466,7 @@ def guard_target_account(actor: Any, target: dict[str, Any]) -> None:
    """Ein Administratorkonto darf nur ein echter Administrator anfassen."""
    if bool(target.get("is_admin")) and not getattr(actor, "is_admin", False):
        raise PermissionDenied(
-            "Administratorkonten koennen nur von Administratoren bearbeitet werden."
+            "Administratorkonten können nur von Administratoren bearbeitet werden."
        )


@@ -420,8 +476,8 @@ def guard_last_admin(conn: sqlite3.Connection, user_id: int, *, action: str) ->
        return
    if count_active_admins(conn, exclude_id=user_id) == 0:
        raise PermissionDenied(
-            f"{action} nicht moeglich: es muss mindestens ein entsperrtes "
-            "Administratorkonto uebrig bleiben."
+            f"{action} nicht möglich: es muss mindestens ein entsperrtes "
+            "Administratorkonto übrig bleiben."
        )


@@ -482,12 +538,12 @@ def create_user(
        if existing["deleted_at"]:
            raise ValidationError(
                f"Der Benutzername {clean!r} liegt im Papierkorb. Stellen Sie das Konto "
-                "wieder her oder loeschen Sie es endgueltig."
+                "wieder her oder löschen Sie es endgültig."
            )
        raise ValidationError(f"Der Benutzername {clean!r} ist bereits vergeben.")

    if is_admin and not getattr(actor, "is_admin", False):
-        raise PermissionDenied("Nur Administratoren koennen weitere Administratoren anlegen.")
+        raise PermissionDenied("Nur Administratoren können weitere Administratoren anlegen.")

    if auth_source == "local":
        problems = policy.check(password, username=clean)
@@ -552,24 +608,30 @@ def update_user(
        # ueberschrieben -- die Bearbeitung waere eine Illusion.
        raise ValidationError(
            "Name und E-Mail eines Verzeichniskontos werden bei jeder Anmeldung "
-            "aus dem Verzeichnis uebernommen und koennen hier nicht geaendert werden."
+            "aus dem Verzeichnis übernommen und können hier nicht geändert werden."
        )

    fields: dict[str, Any] = {}
+    # Mit Werten, nicht nur "geaendert": aus dem Protokoll soll man den
+    # vorherigen Stand ablesen koennen, ohne eine Sicherung auszupacken.
+    beschriftungen = {"first_name": "Vorname", "last_name": "Nachname", "email": "E-Mail"}
    for column, value in (
        ("first_name", first_name),
        ("last_name", last_name),
        ("email", email),
    ):
-        if value is not None and value.strip() != str(target.get(column) or ""):
+        alt = str(target.get(column) or "")
+        if value is not None and value.strip() != alt:
            fields[column] = value.strip()
-            changes.append(f"{column} geaendert")
+            changes.append(
+                f"{beschriftungen[column]}: {alt or '(leer)'} -> {value.strip() or '(leer)'}"
+            )

    if is_admin is not None and bool(is_admin) != bool(target["is_admin"]):
        if not getattr(actor, "is_admin", False):
-            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator aendern.")
+            raise PermissionDenied("Das Admin-Kennzeichen kann nur ein Administrator ändern.")
        if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Admin-Kennzeichen nicht aendern.")
+            raise PermissionDenied("Sie können Ihr eigenes Admin-Kennzeichen nicht ändern.")
        if not is_admin:
            guard_last_admin(conn, user_id, action="Herabstufen")
        fields["is_admin"] = int(bool(is_admin))
@@ -577,7 +639,7 @@ def update_user(

    if is_locked is not None and bool(is_locked) != bool(target["is_locked"]):
        if int(target["id"]) == int(getattr(actor, "id", 0)):
-            raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht sperren.")
+            raise PermissionDenied("Sie können Ihr eigenes Konto nicht sperren.")
        if is_locked:
            guard_last_admin(conn, user_id, action="Sperren")
        fields["is_locked"] = int(bool(is_locked))
@@ -595,7 +657,7 @@ def update_user(
        after = {int(gid) for gid in group_ids}
        if before != after:
            set_user_groups(conn, user_id, sorted(after), actor=actor, tree=tree)
-            changes.append("Gruppenzuordnung geaendert")
+            changes.append("Gruppenzuordnung geändert")

    return changes

@@ -613,7 +675,7 @@ def set_password(
        raise ValidationError("Dieses Konto existiert nicht.")
    if str(row.get("auth_source")) == "ldap":
        raise ValidationError(
-            "Verzeichniskonten haben hier kein Passwort -- es wird im Verzeichnisdienst gepflegt."
+            "Verzeichniskonten haben hier kein Passwort – es wird im Verzeichnisdienst gepflegt."
        )
    problems = policy.check(new_password, username=str(row["username"]))
    if problems:
@@ -631,7 +693,7 @@ def soft_delete_user(conn: sqlite3.Connection, user_id: int, *, actor: Any) -> s
        raise ValidationError("Dieses Konto existiert nicht (mehr).")
    guard_target_account(actor, target)
    if int(target["id"]) == int(getattr(actor, "id", 0)):
-        raise PermissionDenied("Sie koennen Ihr eigenes Konto nicht loeschen.")
+        raise PermissionDenied("Sie können Ihr eigenes Konto nicht löschen.")
    guard_last_admin(conn, user_id, action="Loeschen")

    if str(target.get("auth_source")) == "ldap":
@@ -677,7 +739,7 @@ def matrix_state(
    granted = set(permissions)
    state: dict[str, dict[str, bool]] = {}
    for area in tree.areas:
-        state[area.key] = {"view": area.view_key in granted}
+        state[area.key] = {"read": area.read_key in granted}
        for resource in area.resources:
            state[resource.key] = {
                action.value: resource.permission(action) in granted for action in resource.actions
@@ -690,7 +752,7 @@ def summarize_permissions(tree: PermissionTree, permissions: Iterable[str]) -> l
    granted = set(permissions)
    lines: list[str] = []
    for area in tree.areas:
-        if area.view_key not in granted:
+        if area.read_key not in granted:
            continue
        parts: list[str] = []
        for resource in area.resources:
@@ -706,12 +768,9 @@ def summarize_permissions(tree: PermissionTree, permissions: Iterable[str]) -> l
    return lines


+#: Abgeleitet und nicht abgeschrieben: die Buchstaben stehen in ACTION_META.
+#: Die zweite Liste hier hatte "U" fuer Bearbeiten, waehrend die Matrix "W"
+#: zeigte -- dieselbe Aktion, zwei Kuerzel, je nachdem wo man hinsah.
 ACTION_LETTERS: dict[Action, str] = {
-    Action.VIEW: "R",
-    Action.CREATE: "C",
-    Action.EDIT: "U",
-    Action.DELETE: "D",
-    Action.EXECUTE: "X",
-    Action.EXPORT: "E",
-    Action.SECRETS: "S",
+    action: meta[0] for action, meta in ACTION_META.items()
 }
@@ -112,7 +112,7 @@ def protect() -> None:
    if not expected or not provided:
        abort(403, description="Das Sicherheitstoken des Formulars fehlt. Bitte Seite neu laden.")
    if not hmac.compare_digest(str(expected), str(provided)):
-        abort(403, description="Das Sicherheitstoken des Formulars ist ungueltig. Bitte Seite neu laden.")
+        abort(403, description="Das Sicherheitstoken des Formulars ist ungültig. Bitte Seite neu laden.")


 def exempt(view):
@@ -65,10 +65,10 @@ class PasswordPolicy:
        if classes < self.require_classes:
            problems.append(
                f"Mindestens {self.require_classes} verschiedene Zeichenarten "
-                "(Klein-/Grossbuchstaben, Ziffern, Sonderzeichen)."
+                "(Klein-/Großbuchstaben, Ziffern, Sonderzeichen)."
            )
        if normalized.lower() in _FORBIDDEN:
-            problems.append("Dieses Passwort ist zu haeufig und damit unsicher.")
+            problems.append("Dieses Passwort ist zu häufig und damit unsicher.")
        if username and len(username) >= 3 and username.lower() in normalized.lower():
            problems.append("Das Passwort darf den Benutzernamen nicht enthalten.")
        if len(set(normalized)) <= 3 and normalized:
@@ -26,7 +26,7 @@ import sqlite3
 from datetime import datetime, timedelta, timezone
 from typing import Any

-from flask import Flask, Request, Response
+from flask import Flask, Request, Response, g
 from flask import request as aktuelle_anfrage
 from flask.sessions import SessionInterface, SessionMixin
 from werkzeug.datastructures import CallbackDict
@@ -163,6 +163,7 @@ class SqliteSessionInterface(SessionInterface):
        idle_minutes: int,
        absolute_hours: int,
        idle_lookup: Any = None,
+        absolute_lookup: Any = None,
    ) -> None:
        self.database = database
        self.cookie_name = cookie_name
@@ -172,6 +173,16 @@ class SqliteSessionInterface(SessionInterface):
        #: Zeit zur Laufzeit einstellbar, ohne den Dienst neu zu starten -- und
        #: ohne eine zweite Datenbankverbindung, denn sie bekommt die offene.
        self._idle_lookup = idle_lookup
+        self._absolute_lookup = absolute_lookup
+
+    def _absolute(self, conn: Any) -> int:
+        """Gesamtdauer in Stunden -- einstellbar wie die Leerlaufgrenze."""
+        if self._absolute_lookup is None:
+            return self.absolute_hours
+        try:
+            return int(self._absolute_lookup(conn)) or self.absolute_hours
+        except Exception:  # pragma: no cover - Einstellung unlesbar
+            return self.absolute_hours

    def _idle(self, conn: Any) -> int:
        if self._idle_lookup is None:
@@ -209,6 +220,11 @@ class SqliteSessionInterface(SessionInterface):
                        "WHERE id=?",
                        (_iso(now), sid),
                    )
+                # Fuer die Anmeldeseite vermerken, **warum** sie erscheint. Ohne
+                # das steht dort entweder nichts -- dann wundert sich, wer
+                # gerade noch angemeldet war -- oder eine Meldung, die jeder
+                # Besucher zu sehen bekommt und die deshalb nichts sagt.
+                g.session_expired = True
                return self.session_class(new=True)

            try:
@@ -275,7 +291,10 @@ class SqliteSessionInterface(SessionInterface):
        payload = json.dumps(dict(session), separators=(",", ":"), sort_keys=True)
        with self.database.session() as conn, self.database.transaction(conn):
            if session.new or not session.sid:
-                session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
+                # Eine vorhandene ID nicht wegwerfen: nach einem Wechsel beim
+                # Anmelden steht sie schon, und andere haben sie sich gemerkt.
+                if not session.sid:
+                    session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
                conn.execute(
                    "INSERT INTO user_sessions "
                    "(id, user_id, created_at, last_seen_at, idle_expires_at, "
@@ -287,7 +306,7 @@ class SqliteSessionInterface(SessionInterface):
                        _iso(now),
                        _iso(now),
                        _iso(now + timedelta(minutes=self._idle(conn))),
-                        _iso(now + timedelta(hours=self.absolute_hours)),
+                        _iso(now + timedelta(hours=self._absolute(conn))),
                        session.get("_ip", ""),
                        session.get("_ua", ""),
                        payload,
@@ -366,7 +385,12 @@ def rotate(conn: sqlite3.Connection, session: ServerSession, *, reason: str = "p
            "UPDATE user_sessions SET revoked_at=?, revoked_reason=? WHERE id=?",
            (_iso(_now()), reason, old_sid),
        )
-    session.sid = ""
+    # Die neue ID entsteht **jetzt** und nicht erst beim Speichern der Antwort.
+    # Zwischen beidem laufen die Anmeldehaken, und einer davon bindet die
+    # Dateifreigaben ein und schreibt sich die Sitzung dazu. Mit einer leeren
+    # Sitzung hielt der Aufraeumer diese Einbindungen fuer verwaist und loeste
+    # sie binnen Minuten wieder.
+    session.sid = secrets.token_urlsafe(SESSION_ID_BYTES)
    session.new = True
    session.modified = True
    return old_sid
@@ -67,6 +67,45 @@ class SettingSpec:
        return "" if value is None else str(value)


+#: So lang darf ein Wert im Protokoll werden -- danach wird gekuerzt. Ein
+#: JSON-Feld mit der halben Navigationsreihenfolge macht die Zeile unlesbar.
+WERT_GRENZE = 80
+
+
+class Aenderung(str):
+    """Eine geaenderte Einstellung, lesbar als ``schluessel: alt -> neu``.
+
+    Eine Zeichenkette und kein eigener Typ, weil die Aufrufer die Liste
+    weiterhin mit ``", ".join(...)`` in einen Protokolleintrag schreiben --
+    so gibt es keine Stelle, die man beim Umbau vergessen kann.
+    """
+
+    key: str
+    alt: str
+    neu: str
+
+    def __new__(cls, key: str, alt: Any, neu: Any, *, geheim: bool = False) -> "Aenderung":
+        alt_text = "(gesetzt)" if geheim and alt else _kurz(alt)
+        neu_text = "(geaendert)" if geheim else _kurz(neu)
+        selbst = super().__new__(cls, f"{key}: {alt_text} -> {neu_text}")
+        selbst.key = key
+        selbst.alt = alt_text
+        selbst.neu = neu_text
+        return selbst
+
+
+def _kurz(wert: Any) -> str:
+    """Ein Wert als kurzer Text -- leer wird sichtbar, lang wird gekuerzt."""
+    if wert is None or wert == "":
+        return "(leer)"
+    if isinstance(wert, bool):
+        return "ein" if wert else "aus"
+    text = " ".join(str(wert).split())
+    if len(text) > WERT_GRENZE:
+        return text[: WERT_GRENZE - 1] + "…"
+    return text
+
+
 class SettingsStore:
    """Zugriff auf ``settings``. Alle Methoden nehmen die bestehende Verbindung."""

@@ -140,16 +179,24 @@ class SettingsStore:

    def set_many(
        self, conn: sqlite3.Connection, values: dict[str, Any], *, actor: str = ""
-    ) -> list[str]:
-        """Setzt mehrere Werte, gibt die tatsaechlich geaenderten Schluessel zurueck."""
-        changed: list[str] = []
+    ) -> list["Aenderung"]:
+        """Setzt mehrere Werte und gibt die Aenderungen zurueck.
+
+        Jede Aenderung ist eine Zeichenkette der Form ``schluessel: alt -> neu``
+        -- und traegt die Einzelteile als Attribute. Damit steht im
+        Aenderungsprotokoll, was sich geaendert hat, ohne dass jede
+        Einstellungsseite es einzeln zusammenbauen muss. Vorher stand dort nur
+        der Schluessel, und die Frage "was war vorher eingestellt?" liess sich
+        aus dem Protokoll nicht beantworten.
+        """
+        changed: list[Aenderung] = []
        current = self.get_many(conn, list(values))
        for key, value in values.items():
            spec = self.spec(key)
            if spec.serialize(current.get(key)) == spec.serialize(value):
                continue
            self.set(conn, key, value, actor=actor)
-            changed.append(key)
+            changed.append(Aenderung(key, current.get(key), value, geheim=spec.kind == "secret"))
        return changed

    def delete(self, conn: sqlite3.Connection, key: str) -> None:
@@ -412,7 +412,10 @@
     und beide sind rot. */
  .pill--critical {
    background: var(--danger);
-    color: var(--surface-0);
+    /* Weiss wie bei .btn--danger. Vorher stand hier ein Token, das es nicht
+       gibt -- die Deklaration war damit unwirksam, und die Schrift blieb in
+       der Textfarbe: dunkelgrau auf Rot. */
+    color: #fff;
    font-weight: 700;
  }
  .pill--critical::before { background: currentColor; }
@@ -682,7 +685,10 @@
  .modal__sub { font-size: var(--fs-xs); color: var(--text-faint); margin-top: 2px; }
  /* Eine Datei-Vorschau soll die ganze Flaeche des Dialogs nutzen; der
     uebliche Innenabstand des Dialogkoerpers wuerde sie einrahmen. */
-  .modal__body--flush { padding: 0; max-height: none; }
+  /* Zwei Klassen am selben Element: diese hier muss gewinnen, obwohl
+     .modal__body weiter unten steht. Mit der doppelten Klasse haengt das
+     nicht mehr an der Reihenfolge im Stylesheet. */
+  .modal__body.modal__body--flush { padding: 0; max-height: none; overflow: visible; }
  .modal__caption {
    padding: 0 var(--sp-5) var(--sp-2);
    color: var(--text-muted);
@@ -695,7 +701,177 @@
    width: 100%;
    height: min(70dvh, 760px);
    border: 0;
-    background: var(--surface-0);
+    /* Die Vorschau zeigt fremde Dokumente; ein neutraler Grund gehoert
+       darunter. --surface-0 gibt es nicht, der Rahmen blieb durchsichtig. */
+    background: var(--surface-1);
+  }
+
+  /* -- Betrachter: Bild, PDF, Rahmen ------------------------------------- */
+  /* Eine feste Hoehe fuer alle drei Anzeigen: sonst springt der Dialog beim
+     Wechsel zwischen Foto und PDF. */
+  .viewer {
+    position: relative;
+    display: flex;
+    flex-direction: column;
+    /* Was der Dialog uebrig laesst: Kopf, Dateiname und Fusszeile brauchen
+       zusammen rund 190 Pixel. Ein fester Anteil der Fensterhoehe schob die
+       Zoomleiste auf kleinen Fenstern unter den Rand. */
+    height: min(calc(100dvh - 240px), 760px);
+    min-height: 220px;
+    background: var(--surface-1);
+  }
+  /* Hochkant -- Tablet oder Monitor im Hochformat -- gibt es unter dem Dialog
+     viel Platz, den die Obergrenze verschenkt. Beim Ausfuellen eines
+     Formulars zaehlt jede sichtbare Zeile, also nehmen wir dort die Hoehe,
+     die da ist. Der Rest (Kopf, Dateiname, Fusszeile) braucht rund 200 Pixel;
+     die 240 lassen etwas Luft. */
+  @media (orientation: portrait) {
+    .viewer {
+      height: calc(100dvh - 240px);
+    }
+  }
+  .viewer > .file-preview {
+    flex: 1;
+    height: auto;
+  }
+  .viewer__stage {
+    position: relative;
+    flex: 1;
+    /* Ohne min-height waechst die Buehne mit dem Bild, und dessen
+       max-height:100% haengt dann an sich selbst: ein 4032x3024-Foto stand
+       36 Pixel ueber den Rand hinaus. */
+    min-height: 0;
+    display: flex;
+    align-items: center;
+    justify-content: center;
+    overflow: hidden;
+    /* Die Seite darf nicht mitwandern, wenn im Bild geschoben wird. */
+    touch-action: none;
+    cursor: zoom-in;
+  }
+  .viewer__stage--gezogen {
+    cursor: grab;
+  }
+  .viewer__img {
+    /* Der Ausgangszustand ist "passt in die Flaeche" -- genau das fehlte:
+       ein Foto vom iPad ist 4032 Pixel breit und wurde im Rahmen 1:1
+       gezeigt, also als Ausschnitt aus der Mitte. */
+    max-width: 100%;
+    max-height: 100%;
+    /* Zoomen soll nicht unscharf wirken, solange nicht vergroessert wird. */
+    transform-origin: center center;
+    will-change: transform;
+    user-select: none;
+    -webkit-user-drag: none;
+  }
+  /* pdf.js verlangt einen absolut positionierten, scrollenden Behaelter --
+     der liegt deshalb *innen*. Aussen ein gewoehnlicher Flex-Kasten, damit
+     Zoomleiste und Speicherzeile ihren Platz behalten. Vorher rechnete der
+     Bereich mit "bottom: var(--sp-10)", also mit genau einer Leiste; die
+     zweite Zeile lag dann unter dem Dialogrand. */
+  .viewer__pdf {
+    position: relative;
+    flex: 1;
+    min-height: 0;
+    /* Ein PDF ist weisses Papier. pdf.js malt Formularfelder mit Systemfarben
+       und ueberlaesst Ankreuzfelder dem Browser -- im dunklen Design heisst
+       CanvasText weiss, und die Haken waren auf dem Papier unsichtbar. Fuer
+       diesen Ausschnitt gilt deshalb immer das helle Schema. */
+    color-scheme: light;
+  }
+  /* pdf.js rechnet fuer die Seite mit dem Standard "content-box": ihr
+     9-Pixel-Rahmen liegt *ausserhalb* der angegebenen Breite. Unser globales
+     "border-box" rechnete ihn hinein -- die Leinwand wurde 18 Pixel schmaler
+     als die Anmerkungsebene, und die Formularfelder wanderten nach rechts
+     unten, immer weiter je weiter unten sie lagen. */
+  .viewer__pdf .pdfViewer .page {
+    box-sizing: content-box;
+  }
+  .viewer__pdfscroll {
+    position: absolute;
+    inset: 0;
+    overflow: auto;
+    -webkit-overflow-scrolling: touch;
+  }
+  .viewer__bar {
+    display: flex;
+    align-items: center;
+    gap: var(--sp-2);
+    padding: var(--sp-2) var(--sp-4);
+    border-top: 1px solid var(--border);
+    background: var(--surface-2, var(--surface-1));
+  }
+  .viewer__hint {
+    margin-inline-start: auto;
+  }
+  /* Bildfeld eines Formulars: der Kasten zeigt das gewaehlte Foto, die
+     Schaltflaeche liegt darin. Acrobats eigener Knopf tut im Browser nichts --
+     das hier ist der Ersatz. */
+  .viewer__bildfeld [data-viewer-bildvorschau] {
+    position: absolute;
+    inset: 0;
+    width: 100%;
+    height: 100%;
+    object-fit: contain;
+    background: #fff;
+  }
+  .viewer__bildwahl {
+    position: absolute;
+    inset: auto 0 4px 0;
+    display: flex;
+    justify-content: center;
+    cursor: pointer;
+  }
+  .viewer__bildwahl > span {
+    padding: 4px 10px;
+    border-radius: var(--r-sm, 6px);
+    background: var(--accent);
+    color: #fff;
+    font-size: var(--fs-xs);
+    font-weight: 600;
+    box-shadow: var(--shadow-sm, 0 1px 3px rgb(0 0 0 / 0.3));
+  }
+  .viewer__bildfeld--belegt .viewer__bildwahl > span {
+    opacity: 0.85;
+  }
+  .viewer__save {
+    display: flex;
+    flex-wrap: wrap;
+    align-items: flex-end;
+    gap: var(--sp-3);
+    padding: var(--sp-3) var(--sp-4);
+    border-top: 1px solid var(--border);
+    background: var(--surface-2, var(--surface-1));
+  }
+  .viewer__save .viewer__feld {
+    flex: 1 1 12rem;
+    margin: 0;
+  }
+  /* Die Entscheidung steht rechts und der Haken darueber: er gehoert zum
+     Speichern, nicht zu den Feldern davor. */
+  .viewer__saveaktionen {
+    margin-left: auto;
+    display: flex;
+    flex-direction: column;
+    align-items: flex-end;
+    gap: var(--sp-2);
+  }
+  .viewer__saveknoepfe {
+    display: flex;
+    gap: var(--sp-2);
+  }
+  /* Nach "gibt es schon": der Haken ist die Antwort -- also faellt er auf. */
+  .viewer__saveaktionen .check.is-gefragt {
+    outline: 2px solid var(--accent);
+    outline-offset: 3px;
+    border-radius: var(--r-xs);
+  }
+  /* Eigener Name: ".field--inline" gibt es schon und steht dort fuer
+     "waagerecht" -- diese Regel haette sie app-weit umgestellt. */
+  .viewer__feld {
+    display: flex;
+    flex-direction: column;
+    gap: 2px;
  }
  /* Der Dateiname ist ein Knopf (er oeffnet die Vorschau), soll aber wie ein
     Link aussehen -- ein Knopf mit Rahmen mitten in einer Tabellenzeile waere
@@ -834,7 +1010,25 @@
    text-align: center;
  }
  .matrix thead th:first-child { text-align: left; }
-  .matrix td:not(:first-child), .matrix th:not(:first-child) { width: 62px; text-align: center; }
+  /* Kuerzel, englischer Name, deutsche Beschriftung -- untereinander. Nur das
+     Kuerzel allein war eine Spalte, die man nachschlagen musste; die Legende
+     steht unter einer Tabelle, die man dafuer erst zu Ende scrollt. */
+  .matrix__spalte { display: flex; flex-direction: column; align-items: center; line-height: 1.15; }
+  .matrix__spalte b {
+    font-family: var(--font-mono);
+    font-size: var(--fs-sm);
+    color: var(--text);
+    font-weight: 650;
+  }
+  .matrix__spalte span { font-size: var(--fs-xs); color: var(--text-muted); text-transform: none; }
+  .matrix__spalte small {
+    font-size: 10px;
+    color: var(--text-faint);
+    text-transform: none;
+    letter-spacing: 0;
+    font-weight: 400;
+  }
+  .matrix td:not(:first-child), .matrix th:not(:first-child) { width: 72px; text-align: center; }
  .matrix tr.matrix__area > td {
    background: var(--surface-2);
    font-weight: 640;
@@ -849,7 +1043,10 @@
    width: 17px;
    height: 17px;
    border-radius: 5px;
-    background: var(--surface-0);
+    /* Dunkler als die Karte -- genau das war die Absicht: "dunkler heisst,
+       es gibt das Recht nicht". Mit dem nicht existierenden --surface-0 war
+       das Feld durchsichtig und damit so hell wie die Karte. */
+    background: var(--canvas);
    border: 1px solid var(--border-subtle);
    box-shadow: inset 0 1px 2px rgb(0 0 0 / 28%);
    vertical-align: -3px;
@@ -857,6 +1054,46 @@
  }
  .matrix__resource-label { display: flex; flex-direction: column; gap: 1px; }
  .matrix__resource-label small { color: var(--text-faint); font-size: var(--fs-xs); }
+  .matrix__zeile { display: flex; align-items: baseline; gap: var(--sp-2); }
+  .matrix__zeile b { font-weight: 600; }
+
+  /* Unterzeile: gehoert zur Zeile darueber. Ohne Einrueckung liest man sechs
+     unabhaengige Dinge, wo sechs Teile eines Ganzen stehen. */
+  .matrix tr.matrix__unterzeile > td:first-child { padding-left: var(--sp-6); }
+  .matrix tr.matrix__unterzeile > td:first-child .matrix__zeile b { font-weight: 500; }
+
+  /* Was eine Aktion in dieser Zeile bedeutet -- in der Zeile, nicht im
+     Titelattribut: mit dem Finger gibt es kein "hover". */
+  .matrix__bedeutung { color: var(--text-faint); font-size: var(--fs-xs); }
+  .matrix__bedeutung b {
+    font-family: var(--font-mono);
+    color: var(--text-muted);
+    font-weight: 500;
+  }
+
+  .matrix__alle {
+    border: 1px solid var(--border);
+    background: transparent;
+    color: var(--text-muted);
+    border-radius: var(--r-sm);
+    font-size: 10px;
+    line-height: 1;
+    padding: 2px 4px;
+    cursor: pointer;
+  }
+  .matrix__alle:hover { color: var(--accent); border-color: var(--accent); }
+
+  .matrix__filter {
+    display: flex;
+    align-items: baseline;
+    gap: var(--sp-3);
+    margin-bottom: var(--sp-3);
+    flex-wrap: wrap;
+  }
+  .matrix__filter-hint { color: var(--text-faint); font-size: var(--fs-xs); }
+  /* Eine ausgefilterte Zeile ist versteckt, nicht entfernt: ihre Kaestchen
+     bleiben im Formular, sonst loescht ein Filter beim Speichern Rechte. */
+  .matrix tr[hidden] { display: none; }
  .matrix__legend {
    display: flex;
    flex-wrap: wrap;
@@ -943,9 +1180,15 @@
    display: grid;
    place-items: center;
    padding: var(--sp-6);
+    /* Zwei warme Kreise, Geometrie und Staerke aus der Fassung 1.x
+       uebernommen: oben links deutlich, unten rechts angedeutet. Die vorige
+       Fassung setzte den zweiten Kreis auf --info und 10 % -- ein kaltes
+       Blau, das man auf dunklem Grund nicht sah und das nicht zur Marke
+       gehoert. Ueber color-mix statt festem rgba, damit es im hellen Thema
+       nicht schmutzig wird. */
    background:
-      radial-gradient(1100px 520px at 12% -10%, color-mix(in srgb, var(--accent) 12%, transparent), transparent 70%),
-      radial-gradient(900px 480px at 100% 110%, color-mix(in srgb, var(--info) 10%, transparent), transparent 70%),
+      radial-gradient(circle at 15% 15%, color-mix(in srgb, var(--accent) 14%, transparent), transparent 45%),
+      radial-gradient(circle at 85% 85%, color-mix(in srgb, var(--accent) 8%, transparent), transparent 40%),
      var(--canvas);
  }
  /* Die Wortmarke liegt hinter allem (z-index 0), die Anmeldebox davor.
@@ -1026,24 +1269,35 @@
    color: var(--text-faint);
  }

-  .auth-page { position: relative; overflow: hidden; align-content: center; }
+  /* Marke und Karte stehen uebereinander im normalen Fluss. Vorher lag die
+     Marke absolut positioniert hinter der Karte -- auf einem flachen Fenster
+     schnitt die Karte mitten durch den Schriftzug und die Funktionszeile. Ein
+     Stapel kann nicht kollidieren, und die Seite darf notfalls scrollen. */
+  .auth-stack {
+    display: flex;
+    flex-direction: column;
+    align-items: center;
+    gap: var(--sp-8);
+    width: 100%;
+  }
  .auth-backdrop {
-    position: absolute;
-    top: 4vh;
-    left: 50%;
-    transform: translateX(-50%);
    width: min(72vw, 880px);
    pointer-events: none;
-    z-index: 0;
-    opacity: 0.5;
+    /* Volle Deckung: solange die Marke hinter der Karte lag, war sie ein
+       Wasserzeichen und musste zurueckhaltend sein. Jetzt steht sie ueber der
+       Karte und ist das Erste, was man sieht -- halbtransparent sah sie dort
+       nur blass aus. Die Farben kommen ohnehin aus zurueckhaltenden Token. */
+    opacity: 1;
  }
  .auth-backdrop svg { width: 100%; height: auto; display: block; }
  @media (max-width: 640px) {
-    .auth-backdrop { width: min(90vw, 460px); opacity: 0.32; }
+    .auth-backdrop { width: min(90vw, 460px); }
  }
  /* Wer wenig Bewegung/Reize moechte, bekommt das Motiv dezenter. */
+  /* Wer weniger Reize moechte, bekommt die Marke ruhiger -- aber nicht
+     unsichtbar: sie ist die Ueberschrift der Seite. */
  @media (prefers-contrast: more) {
-    .auth-backdrop { opacity: 0.18; }
+    .auth-backdrop { opacity: 0.75; }
  }

  .auth-card {
@@ -1138,3 +1392,340 @@
    .hide-sm { display: none !important; }
  }
 }
+
+/* -- Sortierbare Liste (Navigationsreihenfolge) --------------------------- */
+/* Symbol und Beschriftung stehen in einer Zeile -- so wie im Menue selbst.
+   Vorher brach die Beschriftung unter das Symbol, und die Liste sah aus wie
+   etwas anderes als das, was sie sortiert. */
+
+.reorder {
+  list-style: none;
+  margin: 0;
+  padding: 0;
+  display: flex;
+  flex-direction: column;
+  gap: 4px;
+}
+
+.reorder__row {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  padding: 6px 10px;
+  border: 1px solid var(--border);
+  border-radius: var(--r-sm);
+  background: var(--surface-2);
+  cursor: grab;
+}
+
+.reorder__row > .flex-1 {
+  display: flex;
+  align-items: center;
+  gap: 8px;
+  white-space: nowrap;
+  overflow: hidden;
+  text-overflow: ellipsis;
+}
+
+.reorder__row.is-dragging {
+  opacity: 0.5;
+}
+
+.reorder__grip {
+  color: var(--text-muted);
+  display: inline-flex;
+}
+
+.reorder__pos {
+  min-width: 1.6em;
+  text-align: right;
+  font-variant-numeric: tabular-nums;
+  color: var(--text-muted);
+  font-size: var(--fs-xs);
+}
+
+.reorder__moves {
+  display: inline-flex;
+  gap: 2px;
+}
+
+.reorder__group {
+  list-style: none;
+}
+
+.reorder--child {
+  margin: 4px 0 4px 28px;
+}
+
+.reorder--child .reorder__row {
+  background: transparent;
+  border-style: dashed;
+}
+
+/* -- Unterschrift --------------------------------------------------------- */
+/* Die Zeichenflaeche braucht "touch-action: none": sonst scrollt ein iPad die
+   Seite, statt einen Strich zu zeichnen -- und es sieht aus, als reagierte das
+   Feld nicht. */
+
+.viewer__sign {
+  display: flex;
+  flex-direction: column;
+  gap: 8px;
+  padding: 10px 12px;
+  border-top: 1px solid var(--border);
+  background: var(--surface-2);
+}
+
+.viewer__signfelder {
+  display: flex;
+  gap: 10px;
+  flex-wrap: wrap;
+}
+
+.viewer__signpad {
+  width: 100%;
+  height: 160px;
+  border: 1px dashed var(--border-strong, var(--border));
+  border-radius: var(--r-sm);
+  background: #fff;
+  touch-action: none;
+  cursor: crosshair;
+}
+
+.viewer__signaktionen {
+  display: flex;
+  align-items: center;
+  gap: 8px;
+  justify-content: flex-end;
+  flex-wrap: wrap;
+}
+
+.viewer__pdfscroll--setzen {
+  cursor: crosshair;
+}
+
+.viewer__pdfscroll--setzen .page {
+  outline: 2px dashed var(--accent, #c8791f);
+  outline-offset: -2px;
+}
+
+/* Die gesetzte Unterschrift liegt auf der Seite -- in Prozent, damit sie beim
+   Zoomen an ihrer Stelle bleibt. Sie nimmt Zeiger an: verschieben mit dem
+   Block, Groesse mit dem Griff unten rechts, entfernen mit dem Kreuz.
+   "touch-action: none" ist auf dem iPad die Bedingung dafuer, dass ein Finger
+   zieht statt die Seite zu scrollen. */
+/* Die Marke ist genau die Zeichnung: ihre Unterkante liegt auf dem
+   Ankerpunkt -- dieselbe Kante, an der pdf-lib das Bild setzt. Der Text
+   haengt darunter und darf die Hoehe nicht mitbestimmen. */
+.viewer__unterschrift {
+  position: absolute;
+  z-index: 3;
+  cursor: grab;
+  touch-action: none;
+  /* "outline" statt "border": ein Rahmen haette die Marke um zwei Pixel
+     groesser gemacht und die Bildkante vom Ankerpunkt weggeschoben. */
+  outline: 1px dashed transparent;
+  outline-offset: 1px;
+}
+
+.viewer__unterschrift:hover,
+.viewer__unterschrift.is-fassend {
+  outline-color: var(--accent);
+  cursor: grabbing;
+}
+
+.viewer__unterschrift img {
+  display: block;
+  width: 100%;
+  pointer-events: none;
+}
+
+/* Dieselbe Rechnung wie im PDF (Breite durch 18): auf dem Schirm steht, was
+   spaeter in der Datei steht. */
+/* "width: max-content": der Strich ist so lang wie der Text darunter -- so
+   wie im PDF. Waere er so breit wie der Block, zeigte die Vorschau etwas
+   anderes als die Datei. */
+.viewer__unterschrifttext {
+  /* Unter der Zeichnung, nicht in ihr: "top: 100%" setzt die Oberkante des
+     Strichs auf die Bildkante -- genau dort zieht ihn auch pdf-lib. Abstand,
+     Strichstaerke und Innenabstand rechnet das Skript in Punkten. */
+  position: absolute;
+  top: 100%;
+  left: 0;
+  /* Helvetica: dieselbe Schrift, die das PDF benutzt (StandardFonts.Helvetica).
+     Mit der Hausschrift sah die Vorschau anders aus als das Ergebnis. Die
+     Groesse setzt das Skript je Unterschrift -- hier steht nur ein Rueckfall. */
+  font-family: Helvetica, Arial, sans-serif;
+  /* Die tatsaechliche Groesse setzt das Skript in Pixeln (Punkte mal
+     Pixel-je-Punkt der Seite). Dieser Wert gilt nur, solange sie noch nicht
+     gerechnet wurde -- geerbt wuerde sonst die Schriftgroesse der Seite. */
+  font-size: 8px;
+  line-height: 1.15;
+  color: #111;
+  border-top: 1px solid rgba(0, 0, 0, 0.85);
+  pointer-events: none;
+  white-space: nowrap;
+  width: max-content;
+}
+
+.viewer__unterschriftgriff,
+.viewer__unterschriftweg {
+  position: absolute;
+  width: 16px;
+  height: 16px;
+  padding: 0;
+  border: 1px solid var(--accent);
+  border-radius: 3px;
+  background: var(--surface-1);
+  color: var(--accent);
+  font-size: 11px;
+  line-height: 1;
+  opacity: 0;
+  cursor: nwse-resize;
+}
+
+.viewer__unterschriftweg {
+  cursor: pointer;
+  top: -8px;
+  right: -8px;
+}
+
+.viewer__unterschriftgriff {
+  right: -8px;
+  bottom: -8px;
+}
+
+.viewer__unterschrift:hover .viewer__unterschriftgriff,
+.viewer__unterschrift:hover .viewer__unterschriftweg,
+.viewer__unterschrift.is-fassend .viewer__unterschriftgriff {
+  opacity: 1;
+}
+
+/* Auf einem Tastbildschirm gibt es kein "hover" -- dort stehen die Knoepfe
+   immer, sonst kaeme man nie an sie heran. */
+@media (hover: none) {
+  .viewer__unterschriftgriff,
+  .viewer__unterschriftweg {
+    opacity: 1;
+  }
+}
+
+/* -- Ergebnis der Signaturpruefung ---------------------------------------- */
+/* Der Schleier liegt ueber der Seite und nimmt keine Klicks an: ein
+   unterschriebenes Dokument ist flach, aber bei einem Irrtum soll die
+   Kennzeichnung nicht auch noch die Bedienung blockieren. */
+
+.viewer__pdf--unveraendert {
+  box-shadow: inset 0 0 0 3px var(--success);
+}
+
+.viewer__pdf--unveraendert::after,
+.viewer__pdf--veraendert::after {
+  content: "";
+  position: absolute;
+  inset: 0;
+  pointer-events: none;
+  z-index: 4;
+}
+
+.viewer__pdf--unveraendert::after {
+  background: rgba(47, 158, 68, 0.1);
+}
+
+.viewer__pdf--veraendert {
+  box-shadow: inset 0 0 0 3px var(--danger);
+}
+
+.viewer__pdf--veraendert::after {
+  background: rgba(201, 42, 42, 0.08);
+}
+
+.viewer__pruefung {
+  margin: 0;
+  padding: 6px 12px;
+  font-size: var(--fs-xs);
+  border-top: 1px solid var(--border);
+}
+
+.viewer__pruefung--gut {
+  color: var(--success);
+  background: rgba(47, 158, 68, 0.12);
+}
+
+.viewer__pruefung--schlecht {
+  color: var(--danger);
+  background: rgba(201, 42, 42, 0.12);
+}
+
+/* -- Tabelle, die schmal zu Bloecken wird -------------------------------- */
+/* Eine Protokollzeile besteht aus sieben Angaben, von denen eine lang ist:
+   das Detail. Auf einem breiten Schirm passt das nebeneinander. Wird es eng,
+   ist eine Spalte von zwei Zentimetern fuer eine Pruefsumme keine Loesung --
+   dann steht jede Angabe auf ihrer eigenen Zeile, beschriftet. */
+
+.table--stapelbar .td--detail {
+  /* Zeilenumbrueche aus dem Eintrag bleiben stehen: die Pruefsumme steht
+     unter dem lesbaren Teil, nicht mitten darin. Und ein Hash ohne Trennstelle
+     darf notfalls hart umbrechen. */
+  white-space: pre-line;
+  overflow-wrap: anywhere;
+  max-width: 52ch;
+}
+
+@media (max-width: 1100px) {
+  .table--stapelbar thead {
+    display: none;
+  }
+
+  .table--stapelbar,
+  .table--stapelbar tbody,
+  .table--stapelbar tr,
+  .table--stapelbar td {
+    display: block;
+    width: auto;
+  }
+
+  .table--stapelbar tr {
+    padding: var(--sp-3) 0;
+    border-bottom: 1px solid var(--border);
+  }
+
+  .table--stapelbar td {
+    display: grid;
+    grid-template-columns: 8.5rem 1fr;
+    gap: var(--sp-2);
+    align-items: baseline;
+    border: 0;
+    padding: 2px var(--sp-3);
+    white-space: normal;
+  }
+
+  .table--stapelbar td::before {
+    content: attr(data-spalte);
+    color: var(--text-muted);
+    font-size: var(--fs-xs);
+  }
+
+  .table--stapelbar .td--detail {
+    max-width: none;
+  }
+
+  /* Leere Zellen brauchen keine Zeile. */
+  .table--stapelbar td:empty {
+    display: none;
+  }
+}
+
+/* -- Dateiliste: Symbol und Name in einer Zeile -------------------------- */
+/* Das Symbol ist ein Block-SVG; ohne diese Regel stand der Name darunter und
+   eine Ordnerzeile sah doppelt so hoch aus wie eine Dateizeile. */
+
+.file-cell {
+  display: flex;
+  align-items: center;
+  gap: 6px;
+}
+
+.file-cell > svg {
+  flex: 0 0 auto;
+}
@@ -109,7 +109,7 @@ export function showToast(message, type = "info", { timeout = 6000 } = {}) {
  const close = document.createElement("button");
  close.type = "button";
  close.className = "toast__close";
-  close.setAttribute("aria-label", "Meldung schliessen");
+  close.setAttribute("aria-label", "Meldung schließen");
  close.textContent = "×";
  toast.append(body, close);
  toastStack.appendChild(toast);
@@ -293,7 +293,7 @@ function initConfirmations() {
      event.preventDefault();
      event.stopPropagation();
      pending = trigger;
-      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestaetigen";
+      titleNode.textContent = trigger.dataset.confirmTitle || "Bitte bestätigen";
      textNode.textContent = trigger.dataset.confirm;
      okButton.textContent = trigger.dataset.confirmOk || "Fortfahren";
      okButton.className = `btn btn--${trigger.dataset.confirmStyle || "danger"}`;
@@ -440,6 +440,56 @@ function initPermissionMatrix() {
      });
    };

+    /* -- Ganze Zeile, ganze Spalte, Filter -----------------------------
+       Bei 37 Zeilen und bis zu sieben Spalten je Bereich sind das ueber
+       zweihundert Kaestchen. Ohne diese drei Hilfen setzt man oben den
+       Bereichsschalter und laesst es dabei -- und die feine Aufteilung
+       haette nichts gebracht. */
+    // Nur was man sieht: eine vom Filter ausgeblendete Zeile darf ein
+    // Sammelknopf nicht mitnehmen. Sonst setzt man "alle Write" waehrend nach
+    // "Neustart" gefiltert ist und aendert dabei Zeilen, die gar nicht auf dem
+    // Schirm stehen -- und merkt es erst nach dem Speichern.
+    const sichtbar = (box) => !box.disabled && !box.closest("tr").hidden;
+    const felder = (bereich) =>
+      $$('input[type="checkbox"][name][data-action]', bereich).filter(sichtbar);
+
+    table.addEventListener("click", (event) => {
+      const ziel = event.target;
+      if (!(ziel instanceof HTMLElement)) return;
+
+      const zeilenknopf = ziel.closest("[data-matrix-row]");
+      if (zeilenknopf) {
+        event.preventDefault();
+        const row = zeilenknopf.closest("tr");
+        if (!row) return;
+        const kaestchen = felder(row);
+        // Erst wenn alles gesetzt ist, nimmt der Knopf weg -- sonst waere
+        // ein zweiter Klick auf eine halb gesetzte Zeile ein Ruecksprung.
+        const alleGesetzt = kaestchen.length > 0 && kaestchen.every((box) => box.checked);
+        kaestchen.forEach((box) => {
+          box.checked = !alleGesetzt;
+          box.dispatchEvent(new Event("change", { bubbles: true }));
+        });
+        return;
+      }
+
+      const spaltenknopf = ziel.closest("[data-matrix-column]");
+      if (spaltenknopf) {
+        event.preventDefault();
+        const aktion = spaltenknopf.dataset.matrixColumn;
+        const bereich = spaltenknopf.dataset.area;
+        const kaestchen = $$(
+          `tr[data-area="${bereich}"] input[data-action="${aktion}"][name]`,
+          table
+        ).filter(sichtbar);
+        const alleGesetzt = kaestchen.length > 0 && kaestchen.every((box) => box.checked);
+        kaestchen.forEach((box) => {
+          box.checked = !alleGesetzt;
+          box.dispatchEvent(new Event("change", { bubbles: true }));
+        });
+      }
+    });
+
    $$("[data-area-switch]", table).forEach((master) => {
      const areaKey = master.dataset.areaSwitch;
      syncArea(areaKey);
@@ -451,8 +501,12 @@ function initPermissionMatrix() {
      if (!(box instanceof HTMLInputElement) || !box.dataset.action) return;
      const row = box.closest("tr");
      if (!row) return;
-      const viewBox = $('input[data-action="view"]', row);
-      if (box.dataset.action === "view") {
+      // "read", nicht "view": die Aktion heisst seit 2.8.0 wie das, was sie
+      // tut. Mit dem alten Namen fand diese Zeile das Kaestchen nicht mehr --
+      // die Matrix haette sich weiter bedienen lassen und dabei die Regel
+      // "jede Aktion setzt Ansehen voraus" stillschweigend fallen gelassen.
+      const viewBox = $('input[data-action="read"]', row);
+      if (box.dataset.action === "read") {
        // "Ansehen" abwaehlen entfernt alles andere dieser Zeile.
        if (!box.checked) {
          $$('input[type="checkbox"][name]', row).forEach((other) => {
@@ -469,6 +523,30 @@ function initPermissionMatrix() {
        master.dispatchEvent(new Event("change"));
      }
    });
+
+    const suche = $("[data-matrix-filter]");
+    const zaehler = $("[data-matrix-count]");
+    if (suche) {
+      const zeilen = $$("tr[data-suchtext]", table);
+      const filtern = () => {
+        const begriff = suche.value.trim().toLowerCase();
+        let sichtbar = 0;
+        zeilen.forEach((row) => {
+          const passt = !begriff || (row.dataset.suchtext || "").includes(begriff);
+          // "hidden" und nicht aus dem Formular nehmen: ein Filter, der
+          // Kaestchen entfernt, loescht beim Speichern Rechte.
+          row.hidden = !passt;
+          if (passt) sichtbar += 1;
+        });
+        if (zaehler) {
+          zaehler.textContent = begriff
+            ? `${sichtbar} von ${zeilen.length} Zeilen`
+            : `${zeilen.length} Zeilen`;
+        }
+      };
+      suche.addEventListener("input", filtern);
+      filtern();
+    }
  });
 }

@@ -497,14 +575,14 @@ function initAutoRefresh() {
      nameField.value = entry.name || "";
      dnField.value = entry.dn || "";
      results.hidden = true;
-      show(`Uebernommen: ${entry.name || entry.dn}`);
+      show(`Übernommen: ${entry.name || entry.dn}`);
    };

    const search = async () => {
      const term = query.value.trim();
      if (term.length < 2) { show("Bitte mindestens zwei Zeichen eingeben."); return; }
      button.disabled = true;
-      show("Suche laeuft ...");
+      show("Suche läuft ...");
      results.innerHTML = "";
      try {
        const url = `${picker.dataset.searchUrl}?q=${encodeURIComponent(term)}`;
@@ -532,10 +610,10 @@ function initAutoRefresh() {
          results.appendChild(row);
        });
        results.hidden = false;
-        show(`${entries.length} Treffer -- zum Uebernehmen anklicken.`);
+        show(`${entries.length} Treffer – zum Übernehmen anklicken.`);
      } catch (error) {
        results.hidden = true;
-        show("Die Suche ist fehlgeschlagen. Laeuft die Verbindung zum Verzeichnis?");
+        show("Die Suche ist fehlgeschlagen. Läuft die Verbindung zum Verzeichnis?");
      } finally {
        button.disabled = false;
      }
@@ -720,7 +798,7 @@ function initClipboard() {
        timeout: 2500,
      });
    } catch {
-      showToast("Kopieren nicht moeglich -- bitte manuell markieren.", "warning");
+      showToast("Kopieren nicht möglich – bitte manuell markieren.", "warning");
    }
  });
 }
@@ -856,6 +934,81 @@ function initTileFilters() {
  });
 }

+/* -- Reihenfolge aendern -------------------------------------------------- */
+
+/**
+ * Eine Liste, deren Reihenfolge man aendern kann -- ohne Bibliothek.
+ *
+ * Die Reihenfolge steckt in der Reihenfolge der versteckten Felder: das
+ * Formular schickt sie als wiederholtes Feld, und der Server liest sie als
+ * Liste. Verschiebt man einen Eintrag, verschiebt sich das Feld mit ihm.
+ *
+ * Zwei Wege, weil es zwei Arten von Geraeten gibt: Ziehen mit der Maus und
+ * zwei Knoepfe je Zeile. Die Knoepfe sind nicht die Notloesung -- auf einem
+ * Tablet sind sie der einzige Weg, der zuverlaessig funktioniert, und mit der
+ * Tastatur ebenso.
+ */
+function initReorder() {
+  $$('[data-behavior="reorder"]').forEach((liste) => {
+    // Nur die eigenen Zeilen: Gruppen enthalten wiederum eine sortierbare
+    // Liste, und deren Zeilen gehoeren der inneren Liste, nicht dieser.
+    const zeilen = () => Array.from(liste.querySelectorAll(":scope > [data-reorder-item]"));
+
+    const nummerieren = () => {
+      zeilen().forEach((zeile, index) => {
+        const nummer = zeile.querySelector("[data-reorder-position-text]");
+        if (nummer) nummer.textContent = String(index + 1);
+        const hoch = zeile.querySelector('[data-reorder-move="up"]');
+        const runter = zeile.querySelector('[data-reorder-move="down"]');
+        if (hoch) hoch.disabled = index === 0;
+        if (runter) runter.disabled = index === zeilen().length - 1;
+      });
+    };
+
+    liste.addEventListener("click", (event) => {
+      const knopf = event.target.closest("[data-reorder-move]");
+      if (!knopf) return;
+      const zeile = knopf.closest("[data-reorder-item]");
+      if (!zeile || zeile.parentElement !== liste) return;
+      event.preventDefault();
+      if (knopf.dataset.reorderMove === "up") {
+        const davor = zeile.previousElementSibling;
+        if (davor) liste.insertBefore(zeile, davor);
+      } else {
+        const danach = zeile.nextElementSibling;
+        if (danach) liste.insertBefore(danach, zeile);
+      }
+      nummerieren();
+      zeile.querySelector(`[data-reorder-move="${knopf.dataset.reorderMove}"]`)?.focus();
+    });
+
+    let gezogen = null;
+    liste.addEventListener("dragstart", (event) => {
+      const zeile = event.target.closest("[data-reorder-item]");
+      if (!zeile || zeile.parentElement !== liste) return;
+      gezogen = zeile;
+      gezogen.classList.add("is-dragging");
+      if (event.dataTransfer) event.dataTransfer.effectAllowed = "move";
+    });
+    liste.addEventListener("dragend", () => {
+      if (gezogen) gezogen.classList.remove("is-dragging");
+      gezogen = null;
+      nummerieren();
+    });
+    liste.addEventListener("dragover", (event) => {
+      if (!gezogen) return;
+      event.preventDefault();
+      const ziel = event.target.closest("[data-reorder-item]");
+      if (!ziel || ziel === gezogen || ziel.parentElement !== liste) return;
+      const kasten = ziel.getBoundingClientRect();
+      const obereHaelfte = event.clientY < kasten.top + kasten.height / 2;
+      liste.insertBefore(gezogen, obereHaelfte ? ziel : ziel.nextElementSibling);
+    });
+
+    nummerieren();
+  });
+}
+
 /* -- Start ---------------------------------------------------------------- */

 /**
@@ -893,8 +1046,23 @@ function boot() {
  initPalette();
  initSubmitGuards();
  initTileFilters();
+  initReorder();
  initLogTails();
  unsavedGuard.init();
+  initViewer();
+}
+
+/* Der Dateibetrachter kommt nur auf Seiten mit Vorschau -- und er zieht bei
+   einem PDF noch pdf.js nach. Beides erst dann, wenn es gebraucht wird. */
+function initViewer() {
+  if (!document.querySelector("[data-viewer]")) return;
+  // Dieselbe Version wie diese Datei: app.js wird als ".../app.js?v=<Zeit>"
+  // eingebunden, und nginx liefert /core-assets/ mit "expires 7d". Ohne das
+  // Anhaengsel bliebe der alte Betrachter nach einem Update im Cache liegen.
+  const version = new URL(import.meta.url).search;
+  import(`./viewer.js${version}`)
+    .then((modul) => modul.initFilePreview())
+    .catch((fehler) => console.error("Dateibetrachter", fehler));
 }

 if (document.readyState === "loading") {
@@ -0,0 +1,11 @@
+pdf.js 4.10.38 -- https://github.com/mozilla/pdf.js
+Aus dem npm-Paket pdfjs-dist; nur build/pdf.min.mjs, build/pdf.worker.min.mjs,
+web/pdf_viewer.mjs, web/pdf_viewer.css, web/images und standard_fonts.
+Apache-2.0, siehe LICENSE.
+
+Die drei Skriptdateien sind von .mjs auf .js umbenannt: die mime.types von
+nginx kennen .mjs nicht, und mit application/octet-stream lehnt jeder Browser
+ein Modul ab. Der Inhalt ist unveraendert.
+
+Warum eingebettet und nicht von einem CDN: TESM laeuft in abgeschotteten
+Netzen. Was die Oberflaeche braucht, muss im Paket liegen.
@@ -0,0 +1,177 @@
+
+                                 Apache License
+                           Version 2.0, January 2004
+                        http://www.apache.org/licenses/
+
+   TERMS AND CONDITIONS FOR USE, REPRODUCTION, AND DISTRIBUTION
+
+   1. Definitions.
+
+      "License" shall mean the terms and conditions for use, reproduction,
+      and distribution as defined by Sections 1 through 9 of this document.
+
+      "Licensor" shall mean the copyright owner or entity authorized by
+      the copyright owner that is granting the License.
+
+      "Legal Entity" shall mean the union of the acting entity and all
+      other entities that control, are controlled by, or are under common
+      control with that entity. For the purposes of this definition,
+      "control" means (i) the power, direct or indirect, to cause the
+      direction or management of such entity, whether by contract or
+      otherwise, or (ii) ownership of fifty percent (50%) or more of the
+      outstanding shares, or (iii) beneficial ownership of such entity.
+
+      "You" (or "Your") shall mean an individual or Legal Entity
+      exercising permissions granted by this License.
+
+      "Source" form shall mean the preferred form for making modifications,
+      including but not limited to software source code, documentation
+      source, and configuration files.
+
+      "Object" form shall mean any form resulting from mechanical
+      transformation or translation of a Source form, including but
+      not limited to compiled object code, generated documentation,
+      and conversions to other media types.
+
+      "Work" shall mean the work of authorship, whether in Source or
+      Object form, made available under the License, as indicated by a
+      copyright notice that is included in or attached to the work
+      (an example is provided in the Appendix below).
+
+      "Derivative Works" shall mean any work, whether in Source or Object
+      form, that is based on (or derived from) the Work and for which the
+      editorial revisions, annotations, elaborations, or other modifications
+      represent, as a whole, an original work of authorship. For the purposes
+      of this License, Derivative Works shall not include works that remain
+      separable from, or merely link (or bind by name) to the interfaces of,
+      the Work and Derivative Works thereof.
+
+      "Contribution" shall mean any work of authorship, including
+      the original version of the Work and any modifications or additions
+      to that Work or Derivative Works thereof, that is intentionally
+      submitted to Licensor for inclusion in the Work by the copyright owner
+      or by an individual or Legal Entity authorized to submit on behalf of
+      the copyright owner. For the purposes of this definition, "submitted"
+      means any form of electronic, verbal, or written communication sent
+      to the Licensor or its representatives, including but not limited to
+      communication on electronic mailing lists, source code control systems,
+      and issue tracking systems that are managed by, or on behalf of, the
+      Licensor for the purpose of discussing and improving the Work, but
+      excluding communication that is conspicuously marked or otherwise
+      designated in writing by the copyright owner as "Not a Contribution."
+
+      "Contributor" shall mean Licensor and any individual or Legal Entity
+      on behalf of whom a Contribution has been received by Licensor and
+      subsequently incorporated within the Work.
+
+   2. Grant of Copyright License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      copyright license to reproduce, prepare Derivative Works of,
+      publicly display, publicly perform, sublicense, and distribute the
+      Work and such Derivative Works in Source or Object form.
+
+   3. Grant of Patent License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      (except as stated in this section) patent license to make, have made,
+      use, offer to sell, sell, import, and otherwise transfer the Work,
+      where such license applies only to those patent claims licensable
+      by such Contributor that are necessarily infringed by their
+      Contribution(s) alone or by combination of their Contribution(s)
+      with the Work to which such Contribution(s) was submitted. If You
+      institute patent litigation against any entity (including a
+      cross-claim or counterclaim in a lawsuit) alleging that the Work
+      or a Contribution incorporated within the Work constitutes direct
+      or contributory patent infringement, then any patent licenses
+      granted to You under this License for that Work shall terminate
+      as of the date such litigation is filed.
+
+   4. Redistribution. You may reproduce and distribute copies of the
+      Work or Derivative Works thereof in any medium, with or without
+      modifications, and in Source or Object form, provided that You
+      meet the following conditions:
+
+      (a) You must give any other recipients of the Work or
+          Derivative Works a copy of this License; and
+
+      (b) You must cause any modified files to carry prominent notices
+          stating that You changed the files; and
+
+      (c) You must retain, in the Source form of any Derivative Works
+          that You distribute, all copyright, patent, trademark, and
+          attribution notices from the Source form of the Work,
+          excluding those notices that do not pertain to any part of
+          the Derivative Works; and
+
+      (d) If the Work includes a "NOTICE" text file as part of its
+          distribution, then any Derivative Works that You distribute must
+          include a readable copy of the attribution notices contained
+          within such NOTICE file, excluding those notices that do not
+          pertain to any part of the Derivative Works, in at least one
+          of the following places: within a NOTICE text file distributed
+          as part of the Derivative Works; within the Source form or
+          documentation, if provided along with the Derivative Works; or,
+          within a display generated by the Derivative Works, if and
+          wherever such third-party notices normally appear. The contents
+          of the NOTICE file are for informational purposes only and
+          do not modify the License. You may add Your own attribution
+          notices within Derivative Works that You distribute, alongside
+          or as an addendum to the NOTICE text from the Work, provided
+          that such additional attribution notices cannot be construed
+          as modifying the License.
+
+      You may add Your own copyright statement to Your modifications and
+      may provide additional or different license terms and conditions
+      for use, reproduction, or distribution of Your modifications, or
+      for any such Derivative Works as a whole, provided Your use,
+      reproduction, and distribution of the Work otherwise complies with
+      the conditions stated in this License.
+
+   5. Submission of Contributions. Unless You explicitly state otherwise,
+      any Contribution intentionally submitted for inclusion in the Work
+      by You to the Licensor shall be under the terms and conditions of
+      this License, without any additional terms or conditions.
+      Notwithstanding the above, nothing herein shall supersede or modify
+      the terms of any separate license agreement you may have executed
+      with Licensor regarding such Contributions.
+
+   6. Trademarks. This License does not grant permission to use the trade
+      names, trademarks, service marks, or product names of the Licensor,
+      except as required for reasonable and customary use in describing the
+      origin of the Work and reproducing the content of the NOTICE file.
+
+   7. Disclaimer of Warranty. Unless required by applicable law or
+      agreed to in writing, Licensor provides the Work (and each
+      Contributor provides its Contributions) on an "AS IS" BASIS,
+      WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or
+      implied, including, without limitation, any warranties or conditions
+      of TITLE, NON-INFRINGEMENT, MERCHANTABILITY, or FITNESS FOR A
+      PARTICULAR PURPOSE. You are solely responsible for determining the
+      appropriateness of using or redistributing the Work and assume any
+      risks associated with Your exercise of permissions under this License.
+
+   8. Limitation of Liability. In no event and under no legal theory,
+      whether in tort (including negligence), contract, or otherwise,
+      unless required by applicable law (such as deliberate and grossly
+      negligent acts) or agreed to in writing, shall any Contributor be
+      liable to You for damages, including any direct, indirect, special,
+      incidental, or consequential damages of any character arising as a
+      result of this License or out of the use or inability to use the
+      Work (including but not limited to damages for loss of goodwill,
+      work stoppage, computer failure or malfunction, or any and all
+      other commercial damages or losses), even if such Contributor
+      has been advised of the possibility of such damages.
+
+   9. Accepting Warranty or Additional Liability. While redistributing
+      the Work or Derivative Works thereof, You may choose to offer,
+      and charge a fee for, acceptance of support, warranty, indemnity,
+      or other liability obligations and/or rights consistent with this
+      License. However, in accepting such obligations, You may act only
+      on Your own behalf and on Your sole responsibility, not on behalf
+      of any other Contributor, and only if You agree to indemnify,
+      defend, and hold each Contributor harmless for any liability
+      incurred by, or claims asserted against, such Contributor by reason
+      of your accepting any such warranty or additional liability.
+
+   END OF TERMS AND CONDITIONS
@@ -0,0 +1 @@
+4.10.38
@@ -0,0 +1,3 @@
+<svg width="12" height="13" viewBox="0 0 12 13" fill="none" xmlns="http://www.w3.org/2000/svg">
+   <path d="M5.375 7.625V11.875C5.375 12.0408 5.44085 12.1997 5.55806 12.3169C5.67527 12.4342 5.83424 12.5 6 12.5C6.16576 12.5 6.32473 12.4342 6.44194 12.3169C6.55915 12.1997 6.625 12.0408 6.625 11.875V7.625L7.125 7.125H11.375C11.5408 7.125 11.6997 7.05915 11.8169 6.94194C11.9342 6.82473 12 6.66576 12 6.5C12 6.33424 11.9342 6.17527 11.8169 6.05806C11.6997 5.94085 11.5408 5.875 11.375 5.875H7.125L6.625 5.375V1.125C6.625 0.95924 6.55915 0.800269 6.44194 0.683058C6.32473 0.565848 6.16576 0.5 6 0.5C5.83424 0.5 5.67527 0.565848 5.55806 0.683058C5.44085 0.800269 5.375 0.95924 5.375 1.125V5.375L4.875 5.875H0.625C0.45924 5.875 0.300269 5.94085 0.183058 6.05806C0.065848 6.17527 0 6.33424 0 6.5C0 6.66576 0.065848 6.82473 0.183058 6.94194C0.300269 7.05915 0.45924 7.125 0.625 7.125H4.762L5.375 7.625Z" fill="black"/>
+</svg> 
@@ -0,0 +1,3 @@
+<svg width="17" height="16" viewBox="0 0 17 16" fill="none" xmlns="http://www.w3.org/2000/svg">
+<path fill-rule="evenodd" clip-rule="evenodd" d="M3.49073 1.3015L3.30873 2.1505C3.29349 2.22246 3.25769 2.28844 3.20568 2.34045C3.15368 2.39246 3.08769 2.42826 3.01573 2.4435L2.16673 2.6255C1.76473 2.7125 1.76473 3.2865 2.16673 3.3725L3.01573 3.5555C3.08769 3.57074 3.15368 3.60654 3.20568 3.65855C3.25769 3.71056 3.29349 3.77654 3.30873 3.8485L3.49073 4.6975C3.57773 5.0995 4.15173 5.0995 4.23773 4.6975L4.42073 3.8485C4.43598 3.77654 4.47177 3.71056 4.52378 3.65855C4.57579 3.60654 4.64178 3.57074 4.71373 3.5555L5.56173 3.3725C5.96373 3.2855 5.96373 2.7115 5.56173 2.6255L4.71273 2.4435C4.64083 2.42814 4.57491 2.3923 4.52292 2.34031C4.47093 2.28832 4.43509 2.2224 4.41973 2.1505L4.23773 1.3015C4.15073 0.8995 3.57673 0.8995 3.49073 1.3015ZM10.8647 13.9995C10.4853 14.0056 10.1158 13.8782 9.82067 13.6397C9.52553 13.4013 9.32347 13.0667 9.24973 12.6945L8.89273 11.0275C8.83676 10.7687 8.70738 10.5316 8.52009 10.3445C8.3328 10.1574 8.09554 10.0282 7.83673 9.9725L6.16973 9.6155C5.38873 9.4465 4.86473 8.7975 4.86473 7.9995C4.86473 7.2015 5.38873 6.5525 6.16973 6.3845L7.83673 6.0275C8.09551 5.97135 8.33267 5.84193 8.51992 5.65468C8.70716 5.46744 8.83658 5.23028 8.89273 4.9715L9.25073 3.3045C9.41773 2.5235 10.0667 1.9995 10.8647 1.9995C11.6627 1.9995 12.3117 2.5235 12.4797 3.3045L12.8367 4.9715C12.9507 5.4995 13.3647 5.9135 13.8927 6.0265L15.5597 6.3835C16.3407 6.5525 16.8647 7.2015 16.8647 7.9995C16.8647 8.7975 16.3407 9.4465 15.5597 9.6145L13.8927 9.9715C13.6337 10.0275 13.3963 10.157 13.209 10.3445C13.0217 10.5319 12.8925 10.7694 12.8367 11.0285L12.4787 12.6945C12.4054 13.0667 12.2036 13.4014 11.9086 13.6399C11.6135 13.8784 11.2441 14.0057 10.8647 13.9995ZM10.8647 3.2495C10.7667 3.2495 10.5337 3.2795 10.4727 3.5655L10.1147 5.2335C10.0081 5.72777 9.76116 6.18082 9.40361 6.53837C9.04606 6.89593 8.59301 7.14283 8.09873 7.2495L6.43173 7.6065C6.14573 7.6685 6.11473 7.9015 6.11473 7.9995C6.11473 8.0975 6.14573 8.3305 6.43173 8.3925L8.09873 8.7495C8.59301 8.85617 9.04606 9.10307 9.40361 9.46062C9.76116 9.81817 10.0081 10.2712 10.1147 10.7655L10.4727 12.4335C10.5337 12.7195 10.7667 12.7495 10.8647 12.7495C10.9627 12.7495 11.1957 12.7195 11.2567 12.4335L11.6147 10.7665C11.7212 10.272 11.9681 9.81878 12.3256 9.46103C12.6832 9.10329 13.1363 8.85624 13.6307 8.7495L15.2977 8.3925C15.5837 8.3305 15.6147 8.0975 15.6147 7.9995C15.6147 7.9015 15.5837 7.6685 15.2977 7.6065L13.6307 7.2495C13.1365 7.14283 12.6834 6.89593 12.3259 6.53837C11.9683 6.18082 11.7214 5.72777 11.6147 5.2335L11.2567 3.5655C11.1957 3.2795 10.9627 3.2495 10.8647 3.2495ZM3.30873 12.1505L3.49073 11.3015C3.57673 10.8995 4.15073 10.8995 4.23773 11.3015L4.41973 12.1505C4.43509 12.2224 4.47093 12.2883 4.52292 12.3403C4.57491 12.3923 4.64083 12.4281 4.71273 12.4435L5.56173 12.6255C5.96373 12.7115 5.96373 13.2855 5.56173 13.3725L4.71273 13.5545C4.64083 13.5699 4.57491 13.6057 4.52292 13.6577C4.47093 13.7097 4.43509 13.7756 4.41973 13.8475L4.23773 14.6965C4.15173 15.0985 3.57773 15.0985 3.49073 14.6965L3.30873 13.8475C3.29337 13.7756 3.25754 13.7097 3.20555 13.6577C3.15356 13.6057 3.08764 13.5699 3.01573 13.5545L2.16673 13.3725C1.76473 13.2865 1.76473 12.7125 2.16673 12.6255L3.01573 12.4435C3.08769 12.4283 3.15368 12.3925 3.20568 12.3405C3.25769 12.2884 3.29349 12.2225 3.30873 12.1505Z" fill="black"/>
+</svg>
Author	SHA1	Message	Date
alientim	0d99760d89	Version 2.8.0: Rechtekonzept -- eine Zeile je Funktion, Administrator heisst Verwaltung	2026-09-12 13:27:45 +02:00
alientim	713ff12db2	Version 2.7.8: die Vorschau haengt an derselben Kante wie die Datei	2026-09-12 11:37:03 +02:00
alientim	2db7e03154	Version 2.7.7: Schriftgroesse der Vorschau wird gerechnet	2026-09-12 01:34:02 +02:00
alientim	5dcb87d6ec	Version 2.7.6: die Vorschau der Unterschrift zeigt das Ergebnis	2026-09-12 01:12:05 +02:00
alientim	dc94a8e666	Version 2.7.5: jede Aenderung nennt alt und neu	2026-09-12 00:43:09 +02:00
alientim	c639f4f507	Version 2.7.5: die Ordnerzeile sagt, was im Ordner liegt	2026-09-12 00:30:34 +02:00
alientim	ad0195bab0	Version 2.7.4: Unterschriften in der Sicherung, unterschrieben ist abgeschlossen	2026-09-12 00:26:22 +02:00
alientim	ce22239d78	Version 2.7.3: Zeugenvermerk einmal und in den Dokumenteigenschaften	2026-09-11 23:45:17 +02:00
alientim	92c8abb79b	Zahlen im Kommentar geradegerueckt	2026-09-11 23:28:28 +02:00
alientim	dcb4f57eeb	Version 2.7.2: Umlaute in der Oberflaeche, Einbindungen an der Sitzung	2026-09-11 23:24:28 +02:00
alientim	11a55b20f8	Version 2.7.1: Signaturverzeichnis ueberlebt die Archivierung	2026-09-11 21:36:24 +02:00
alientim	ed17bce40a	Version 2.7.0: Pruefung beim Oeffnen, Unterschrift in menschlichem Mass	2026-09-11 21:23:11 +02:00
alientim	5282cd8f2d	Version 2.6.1: die Speichernzeile fuehrt zur Entscheidung	2026-09-11 21:03:24 +02:00
alientim	754cbea6bb	Version 2.6.0: Unterschreiben mit dem Finger, Ablage in eine andere Freigabe	2026-09-11 20:41:47 +02:00
alientim	07ae69e3b7	Version 2.5.2: Wartung ist auch in der Rechtematrix ein eigener Bereich	2026-09-11 20:16:37 +02:00
alientim	d3c700283a	Version 2.5.1: Sitzungsdauer im Lizenzserver, Umlaute, Umleitung alter Adressen	2026-09-11 19:16:26 +02:00
alientim	61a47debdc	Version 2.5.0: englische Adressen entlang der Navigation, sparsameres Protokoll	2026-09-11 18:57:22 +02:00
alientim	bec74e6936	Version 2.4.1: die Wiederanmeldung kommt aus dem Rechtemodell	2026-09-10 02:00:27 +02:00
alientim	d2679361bc	Version 2.4.0: eigene Rechtezeile fuer PDF-Formulare, Download ist Export	2026-09-10 00:08:21 +02:00
alientim	20c7fd8813	Version 2.3.3: weiter ausfuellbar oder abgeschlossen	2026-09-09 23:43:46 +02:00
alientim	eaca6f7990	Version 2.3.2: Namen ohne Endung, lesbare Haken, hochkant mehr Hoehe	2026-09-09 23:35:42 +02:00
alientim	4eb1c0c2d8	Version 2.3.1: Formularfelder sitzen richtig, Bildfeld nutzbar	2026-09-09 23:11:49 +02:00
alientim	c0a6dd057c	Version 2.3.0: Speichern mit Ordner und Namen	2026-09-09 22:41:07 +02:00
alientim	8c2cd10ee4	Version 2.2.1: pdf.js unter .js -- .mjs kennt kein Webserver	2026-09-09 22:06:15 +02:00
alientim	2c3ca4acc1	Version 2.2.0: Vorschau mit Zoom und PDF-Formularen, eine Uploadgrenze	2026-09-09 21:48:05 +02:00
alientim	f16ba7d875	Version 2.1.2: Wurzelinstanz auch an der Lizenz erkennen	2026-09-09 00:27:00 +02:00
alientim	7bfe328e4b	Version 2.1.1: update.sh mit --yes, ohne Terminal kein stiller Ausstieg	2026-09-09 00:20:30 +02:00
alientim	5b9373bb24	release.sh nimmt den Namen des Repositoriums	2026-09-09 00:12:59 +02:00
alientim	f77c8b221c	Version 2.1.0	2026-09-09 00:10:39 +02:00
alientim	985deb7a24	README: vier Repositorien, zwei Ausgaben des Lizenzservers	2026-09-09 00:08:32 +02:00
alientim	258e90bf4f	Rueckweg bei jedem Fehlschlag, install.sh oben im Paket, eigener Port je Instanz	2026-09-09 00:06:44 +02:00
alientimandClaude Opus 5	337a52cc38	sudoers ohne requiretty, und ein Rueckweg fuer fehlgeschlagene Upgrades Auf einem frisch aufgesetzten Server brach das Upgrade mitten drin ab: /tmp/tmp.XXXX:8:24: syntax error: unknown setting: 'requiretty' visudo: invalid sudoers file !! sudoers-Datei ist fehlerhaft "Defaults:<user> !requiretty" stand in beiden sudoers-Dateien. Auf Debian und Ubuntu ist requiretty nie gesetzt -- die Zeile war von Anfang an wirkungslos -- und ab sudo 1.9.16 kennt visudo die Einstellung nicht mehr und lehnt die ganze Datei ab. Sie ist entfernt; ein Hygienetest haelt fest, dass sie nicht zurueckkommt, und prueft gleich mit, dass in diesen Dateien genau eine Regel steht und die auf den Helfer zeigt. Schlimmer als der Fehler war die Folge: der alte Dienst war zu diesem Zeitpunkt gestoppt und deaktiviert, das Verzeichnis teils ersetzt, der neue Dienst nicht vorhanden. upgbrade.sh faengt den Fehlschlag jetzt ab und dreht den Lauf zurueck -- und mit "--rollback" auch spaeter noch, aus einer vorhandenen Sicherung. Dafuer muss die Sicherung mehr enthalten als das Verzeichnis. Bei einem Upgrade in dasselbe Verzeichnis schreibt install.sh auch systemd-Unit, nginx-Site, logrotate und Banner neu und ersetzt das venv; ohne Kopie davon liesse sich der alte Stand nicht herstellen. Ein Manifest haelt Quelle und Art des Umzugs fest, damit ein spaeterer Rueckweg nicht raten muss. Beim Nachstellen des Fehlschlags fiel ein zweiter Fund auf, gefaehrlicher als der erste: die Liste der "alten Units" war fest verdrahtet -- fuer --app tesm immer tesm.service. Nach einem rename.sh heisst so aber die laufende Installation. Wer die archivierte 1.x in eine eigene Instanz hochzieht und --keep-old-running vergisst, haette damit den Produktionsdienst gestoppt und deaktiviert. Die Units werden jetzt daran erkannt, dass sie in genau das Quellverzeichnis zeigen; Timer und Hilfsdienste kommen ueber den Namen der so gefundenen Unit mit. Am System geprueft, nicht behauptet: Fehlschlag nachgestellt (1.2.8 mit eigener Unit, eigener Site und erkennbarem venv), Rueckweg lief -- VERSION 1.2.8, das alte venv und die alte Unit wieder da, die neue Struktur weg, die laufende Produktion unberuehrt. Danach derselbe Lauf mit heiler sudoers-Datei bis zum Ende (4 Clients, 2 Zugangsdaten, DHCP), und zuletzt "--rollback" als eigener Aufruf auf dieselbe Installation. Version 2.0.10. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-08 23:13:43 +02:00
alientimandClaude Opus 5	160675e368	upgrade.sh und update.sh genuegen als einzelne Datei Auf einer 1.2.8 liegt nichts von dieser Fassung -- upgrade.sh verlangte aber ein install.sh daneben und brach sonst ab. Das war die falsche Voraussetzung fuer genau den Fall, fuer den das Skript gedacht ist. Beide Skripte holen sich das Release jetzt selbst: curl -fsSLO .../raw/branch/main/deploy/upgrade.sh sudo bash upgrade.sh --app tesm Liegt das Skript in einem entpackten Release, wird dessen install.sh benutzt statt eines Downloads: wer ein Paket ausgepackt hat, will nicht, dass ungefragt ein anderes geladen wird. Mit --tag laesst sich eine Version festlegen. Der Bootstrap steht wortgleich in beiden Dateien -- zwei eigenstaendige Skripte koennen sich keine Datei teilen, und beide sollen allein genuegen. Ein Hygienetest vergleicht die Bloecke, ein zweiter prueft, dass upgrade.sh kein entpacktes Release mehr verlangt, ein dritter fuehrt den Block mit leerem PATH aus und erwartet, dass er das fehlende Werkzeug benennt. update.sh ruft install.sh nicht mehr per exec auf: dadurch lief die Aufraeumfalle nie, und jedes Update liess ein entpacktes Release unter /tmp liegen. Ausserdem "opus" aus allen Beispielen genommen. Das war der Name der Testinstanz neben der Fassung 1.x; seit dem Umbenennen heissen die Installationen wie ihre Anwendung, und in einer Hilfe, die jemand anders liest, ist "opus" ein Raetsel. In BETRIEB.md stand dabei zweimal /opt statt /srv. Geprueft am System, nicht behauptet: die einzelne upgrade.sh hat eine echte 1.2.8 (Kopie des Archivs) in dasselbe Verzeichnis auf 2.0.8 gebracht -- Release geladen, 4 Clients, 2 Zugangsdaten und die DHCP-Konfiguration uebernommen, Dienst laeuft, /login 200. Die Sicherung enthaelt die 1.2.8 samt sqlite.db und fernet.key (Verzeichnis 0700, Passphrase 0600), und /tmp bleibt leer. Danach dieselbe Probe mit der einzelnen update.sh. Version 2.0.9. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-03 16:18:52 +02:00
alientimandClaude Opus 5	3bbddd7d29	upgrade.sh findet die Fassung 1.x auch im Archiv Nach einem Umbenennen liegt unter /srv/<app> die laufende Installation und die Fassung 1.x unter /srv/<app>-sonnet5 -- dorthin verschiebt rename.sh sie. Die Vorgabe von upgrade.sh zeigte danach auf die neue Installation und brach ab (sauber, aber unbrauchbar). Gesucht wird jetzt an beiden Orten; erkannt wird eine 1.x an der sqlite.db im Wurzelverzeichnis. Den Weg selbst habe ich gegen die echten Altdaten geprueft, nicht behauptet: aus /srv/tesm-sonnet5 (Version 1.2.8) kamen 4 Clients, 2 Zugangsdaten und die DHCP-Konfiguration in eine Probeinstanz, aus /srv/tesm-license-sonnet5 (Version 1.2.7) 2 Kunden, 2 Tickets und 2 neu signierte Lizenzen samt uebernommenem Signaturschluessel und Anbieterblock. Die laufenden Installationen blieben unberuehrt, die Probeinstanzen sind abgeraeumt. Zwei Tests halten die beiden Skripte zusammen: derselbe Namenszusatz, und die Suche laeuft ueber die echten Zeilen aus upgrade.sh. Version 2.0.8. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-03 14:53:36 +02:00
alientimandClaude Opus 5	7407f4bc00	Anmeldeseite: Wortmarke fuer beide, Karte ohne Wiederholung * Die Wortmarke stand nur bei TESM -- sie hing an der Funktionszeile, und die hatte der Lizenzserver nicht. Jetzt zeigen beide die Marke; die Zeile darunter ist optional und beim Lizenzserver "LIZENZIEREN". * Der Kartenkopf ist weg: eine Kachel mit zwei Buchstaben, die Ueberschrift "Anmelden" und der Anwendungsname darunter sagten dasselbe wie die Marke darueber und der Knopf darunter. Die Ueberschrift bleibt fuer die Titelzeile des Browsers. * Marke und Karte stehen jetzt uebereinander im Fluss statt uebereinander gestapelt: auf einem flachen Fenster schnitt die Karte mitten durch den Schriftzug. * Die Marke ist kuerzer und symmetrisch um die Mitte aufgebaut -- Schriftzug ueber text-anchor, Zacken spiegelbildlich, Linie links so lang wie der Punkt rechts. Volle Deckkraft, weil sie kein Wasserzeichen hinter der Karte mehr ist. * Funktionszeile gekuerzt auf "UEBERWACHEN . BOOTEN . ANBINDEN" -- mit echtem Umlaut. "(PXE)" stand fuer etwas, das es noch nicht gibt. * Der Farbverlauf im Hintergrund hat wieder Geometrie und Staerke der Fassung 1.x. Der zweite Kreis lag auf --info und 10 %: ein kaltes Blau, das man auf dunklem Grund nicht sah und das nicht zur Marke gehoert. * "Bitte melden Sie sich an." stand auf einer Seite aus Anmeldefeld, Passwortfeld und einem Knopf "Anmelden". Statt dessen erfaehrt jetzt der, dessen Sitzung gerade ablief, warum er wieder hier ist. Dabei drei Dinge gefunden, die lautlos nichts taten: * __version__ stand fest verdrahtet in drei __init__.py. Die Fusszeile zeigte vier Releases lang 2.0.2, waehrend die Anwendung 2.0.6 war. Die Nummer kommt jetzt aus den Metadaten des installierten Pakets; Quelle ist pyproject.toml. * "gap: var(--sp-7)" -- die Skala kennt kein --sp-7 (1 bis 6, dann 8, 10, 12, 16). Eine undefinierte Variable verwirft die ganze Deklaration ohne Meldung: der Abstand war "normal", und Marke und Karte stiessen auf den Pixel aneinander. * Ein Test dagegen fand sofort ein zweites: --surface-0 wird dreimal benutzt und nirgends definiert. Die Schrift auf der Kachel "kritisch" blieb dunkelgrau auf Rot, die Dateivorschau hatte keinen Grund, und das Feld "Recht nicht vorhanden" in der Rechtematrix war durchsichtig -- also so hell wie die Karte, obwohl es dunkler sein sollte. Version 2.0.7. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-03 14:44:32 +02:00
alientimandClaude Opus 5	635722089e	rename.sh: aus einer Instanz die Hauptinstallation machen Die laufenden Installationen hiessen "tesm-opus" und "tesm-license-opus" -- ein Instanzname aus der Zeit, in der sie neben der Fassung 1.x getestet wurden. Jetzt heissen sie "tesm" und "tesm-license". Umbenennen ist mehr als ein verschobenes Verzeichnis, und drei Stellen sind leicht zu uebersehen: * SITE_KEY in der Umgebungsdatei -- daraus entsteht der Name des Sitzungscookies. Bleibt er alt, heisst das Cookie weiter wie die alte Instanz: unauffaellig und falsch. * web_cert_path/web_key_path/web_acme_webroot in der Datenbank enthalten den Namen. Ein Zertifikat unter dem alten Pfad findet nginx nicht mehr. * server_name der nginx-Site. install.sh schreibt die Datei aus seiner Vorlage neu, sobald sich die alias-Pfade aendern -- und die aendern sich hier zwangslaeufig. Ohne den Namen aus der Datenbank stehen danach zwei Sites mit "server_name _" auf Port 80, und die erste gewinnt. web-setup braucht dafuer --apply; ohne ihn speichert es nur. Zwei Fehler hat erst der Lauf am System gezeigt: * Das venv wandert nicht mit. Seine Konsolenskripte tragen den absoluten Pfad im Shebang, und danach zeigt venv/bin/gunicorn auf einen Interpreter, den es nicht mehr gibt -- systemd meldet "No such file or directory" fuer eine Datei, die sichtbar da ist. Es wird jetzt verworfen und neu gebaut. * Den Zielnamen belegt nicht nur /srv/<name>, sondern auch /var/log/<name>, der ACME-Pfad und die logrotate-Datei. Der Umzug brach mitten drin ab. Jetzt wandert alles, was den Namen belegt, in ein Archiv -- geloescht wird nichts, die Units und die Site der alten Fassung liegen darin unter systemd-alt/. Ein Test vergleicht die Pfade, die install.sh unter dem Namen anlegt, mit denen, die rename.sh kennt. Genau diese Luecke war der zweite Fehler; ohne den Test faellt der naechste erst wieder auf einem Server auf. Version 2.0.6. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-03 14:12:40 +02:00
alientimandClaude Opus 5	6dff1ed137	Banner: Einzahl, wo eines gemeint ist "1 Clients online" liest man jeden Tag einmal zu oft. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-03 12:48:32 +02:00
alientimandClaude Opus 5	b4529a0e31	Anmeldebanner wieder in Betrieb -- ohne die Anwendung zu starten Das Banner der Vorgaengerfassung hing an /srv/tesm/motd_banner.py und importierte dafuer die ganze Flask-Anwendung samt deren venv. Nach dem Umstieg zeigte es damit die Zahlen einer Datenbank, die niemand mehr fuellt -- eingefroren, aber unverdaechtig. Aufgefallen ist es erst, als der alte Ueberwachungsdienst abgeschaltet wurde. deploy/tesm-motd loest das anders: nur Standardbibliothek, kein venv, kein Import der Anwendung, die Datenbank wird nur lesend geoeffnet (mode=ro). Ein Lauf dauert Millisekunden statt eines Flask-Starts. install.sh legt das Skript nach /usr/local/lib/tesm/ und schreibt /etc/update-motd.d/50-<name>, abgesichert mit "timeout 3" und "\|\| true" -- ein Banner darf eine Anmeldung nie blockieren. Ein Banner der Vorgaengerfassung wird entfernt, aber nur, wenn es genau auf motd_banner.py zeigt. Damit es nicht zwei Wahrheiten ueber "online" gibt, steht die Zaehlung der Statusuebersicht jetzt als Konstante DASHBOARD_COUNT_SQL in monitor.py; das Banner traegt sie wortgleich, und ein Hygienetest vergleicht beide. Dasselbe fuer die Zeile unter der Wortmarke. Ein weiterer Test verbietet dem Banner jeden Import ausserhalb der Standardbibliothek -- genau dieser Import war die Ursache. Der Lizenzserver bekommt sein eigenes Banner (Kunden und ausgestellte Lizenzen). Eine Tagline hat er bewusst nicht: die Funktionsliste von TESM waere dort falsch, und eine erfundene waere schlimmer als keine. Version 2.0.5. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-03 12:44:21 +02:00