chore(planning): Veraltete Checkpoints entfernt, ihr Wissen nach STATE.md ueberfuehrt

Die beiden .continue-here.md-Dateien stammten aus abgeschlossener Arbeit
(Phase 10 vom 2026-07-21, Meilenstein-Abschluss vom 2026-08-11) und waren als
Wiedereinstiegspunkt ueberholt. Ihre noch gueltigen Inhalte standen jedoch
nirgends sonst und waeren beim Loeschen verloren gegangen:

- fuenf Anti-Patterns (tautologischer Test, HTTP 200 als Funktionsbeleg,
  Image-Datum als Aktualitaets-Beleg, Server-Compose ist kein Checkout,
  stale live container maskiert Fertigstellung)
- Infrastruktur-Stand von alpha inkl. der Drift zwischen /opt/tessera und
  dem Repository
- der Blocker "kein AD-Schreibzugriff", der den noch offenen Live-Test
  WINDOWS #4 direkt betrifft

Beides ist jetzt als eigene Abschnitte unter Accumulated Context in STATE.md
festgehalten. Ausserdem den Blocker 15-06 als erledigt markiert (die
Gegenprobe wurde am 2026-09-07 nachgeholt) und .gsd/ ignoriert — das ist
Laufzeit-Scratch, das pro Sitzung neu geschrieben wird.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01FYZcd3SSmo14QTqWx2KKzU

.planning/.continue-here.md

@@ -1,121 +0,0 @@
----
-context: default
-phase: 16-ad-gruppen-synchronisation
-task: null
-total_tasks: 0
-status: between-milestones
-last_updated: 2026-08-11T12:59:01.215Z
----
-
-## Critical Anti-Patterns
-
-| Pattern | Description | Severity | Prevention Mechanism |
-|---------|-------------|----------|---------------------|
-| Tautologischer Test | Der Test der objectGUID-Suche baute seinen Erwartungswert mit **derselben** Hilfsfunktion, die der Produktionscode benutzte. Er bestaetigte damit, dass die Funktion zu sich selbst passt — nicht, dass ein Verzeichnis den Filter versteht. Der Fehler ueberlebte Review und Tests und haette beim ersten echten Sync alle AD-gebundenen Gruppen geloescht. | blocking | Tests gegen externe Systeme muessen die **Form** des Aufrufs pruefen (Buffer statt String, Objekt statt interpoliertem Text), nicht seinen mit Produktionscode erzeugten Inhalt. Siehe `ldap.service.spec.ts`, die beiden Tests am Ende des syncBoundGroupsForTenant-Blocks. |
-| HTTP 200 als Funktionsbeleg | `oeffentlichevergabe.de/ui/...` ist eine Single-Page-App und antwortet auf JEDE Kennung mit 200 und identischen 1309 Bytes, auch auf `NONSENSE123`. Ein Statuscode-Test haette "funktioniert" gemeldet. | advisory | Bei SPA-Zielen den gerenderten Inhalt pruefen (Playwright), nie den Statuscode. |
-| Image-Datum als Aktualitaets-Beleg | Das Web-Image trug den 7. August und sah veraltet aus. Tatsaechlich hatten sich die Web-Quellen seither nicht geaendert; Docker-Layer-Caching erzeugt ein bit-identisches Image mit altem Erstellungsdatum. | advisory | Vor einer Aussage ueber Rueckstand `git log -- apps/web` pruefen, nicht das Image-Datum. |
-| Server-Compose ist kein Checkout | `/opt/tessera` ist keine Git-Arbeitskopie. Aenderungen an Compose-Dateien im Repository kommen dort nie an; der Deploy holt nur Images. | blocking | Aenderungen an `docker-compose*.yml` wirken NICHT auf alpha. Was dort gelten soll, muss zusaetzlich in `/opt/tessera/docker-compose.yml` eingetragen werden (erlaubt, mit Sicherung). Siehe Backlog `2026-08-11-compose-datei-auf-server-driftet.md`. |
-
-<current_state>
-v1.2 Plattform-Berechtigungen ist inhaltlich fertig. Phase 15 steht auf 8/8,
-Phase 16 auf 5/5, beide in ROADMAP.md und STATE.md nachgezogen. Kein Phase-Work
-in Arbeit, Arbeitsverzeichnis sauber, alles auf origin/main (`f38b9f2`).
-
-Die Sitzung war UAT-getrieben: der Browser-Durchlauf zu Phase 16 hat einen
-kritischen Fehler in der Loescherkennung gefunden, der ohne den einen
-ausfuehrbaren Test unbemerkt in Produktion gegangen waere.
-</current_state>
-
-<completed_work>
-
-- Phase-16-UAT: Tests 5, 6, 7 im Browser bestanden; Test 2 read-only gegen das
-  echte AD; Tests 1, 3, 4, 8 auf Entscheidung des Users uebersprungen
-- **KRITISCH behoben** (`d2019dc`): objectGUID-Existenzpruefung baute ihren
-  Filter als escapten String; ldapts wandelt das nicht in Rohbytes. Beide
-  Suchen der Pruefung teilten sich den Filter, damit haette der erste echte
-  Sync jede AD-gebundene Gruppe samt Mitgliedschaften und Modulfreigaben
-  geloescht. Jetzt EqualityFilter mit rohem Buffer, am echten AD gemessen.
-- DOE-Bekanntmachungslinks repariert (`ecf7872`) inkl. Backfill von 2846 Zeilen
-- Fehlender Abschlussbericht 15-04 nachgezogen (`149b5aa`) — Phase 15 damit 8/8
-- LDAP-Bind-Passwort verschluesselt (`4f687ea`), Stack startet nicht mehr ohne
-  Schluessel (`7bda56d`), Schluessel umbenannt mit Rueckfallebene (`f574884`)
-- Vier Backlog-Punkte geschrieben, zwei alte geschlossen
-</completed_work>
-
-<remaining_work>
-
-Vier Backlog-Punkte, alle unter `.planning/todos/pending/`:
-
-1. `2026-08-11-modulaktivierung-ohne-lizenzpruefung.md` — gross, Produktfragen offen
-2. `2026-08-11-tender-radar-einstellungen-mischen-rollen.md` — mittel, Grundsatzfrage offen
-3. `2026-08-11-compose-datei-auf-server-driftet.md` — mittel, Weg offen
-4. `2026-08-11-verschluesselungsschluessel-vorgabewert.md` — klein, ohne Rueckfrage machbar
-
-Offen ausserdem: ob nach v1.2 ein neuer Meilenstein geplant wird.
-</remaining_work>
-
-<decisions_made>
-
-- Phase 16 mit A1 (objectGUID uebersteht Umbenennung) als offener, dokumentierter
-  Annahme abgeschlossen — der User hat keinen AD-Schreibzugriff, und der eine
-  substanzielle Fehler war bereits gefunden
-- Ein Plattform-Schluessel statt eines eigenen fuer das AD-Bind-Passwort: zwei
-  Schluessel in derselben .env auf demselben Host erhoehen die Sicherheit nicht
-- Alter Schluesselname bleibt lesbar mit Veraltet-Warnung — ein harter Rename
-  haette jede bestehende Installation gestoppt
-- Verschluesselungs-Backfill zur Laufzeit statt in der Migration: SQL kann nicht
-  verschluesseln, der Schluessel liegt in der Anwendungsumgebung
-</decisions_made>
-
-<blockers>
-- Kein AD-Schreibzugriff: UAT 1/3/4 der Phase 16 sind dort dauerhaft nicht
-  ausfuehrbar. Als Annahme dokumentiert, kein offener Arbeitsauftrag.
-- `.env.example` / `.env.prod.example` waren in der Sitzung durch Berechtigungen
-  gesperrt — die Dokumentation des Schluessels haengt daran.
-</blockers>
-
-## Required Reading (in order)
-
-1. `.planning/STATE.md` — Position, Quick-Task-Tabelle mit den Fixes dieser Sitzung
-2. `.planning/phases/16-ad-gruppen-synchronisation/16-UAT.md` — Abschnitt
-   "Entscheidung 2026-08-11", warum vier Tests uebersprungen sind
-3. `.planning/quick/260811-f9i-*/SUMMARY.md` — der kritische Fund und warum er
-   durch Review und Tests kam
-4. `.planning/todos/pending/` — die vier offenen Punkte
-
-## Infrastructure State
-
-- **alpha** (192.168.13.12, https://alpha.tessera.ctl.de): API-Image mit allen
-  Fixes, Migrationen `20260811120000_doe_notice_url_backfill` und
-  `20260811140000_encrypt_ldap_bind_password` angewandt. Web-Image vom 7.8. —
-  korrekt, die Web-Quellen sind seit dem 6.8. unveraendert.
-- **`/opt/tessera/.env`**: traegt `TESSERA_ENCRYPTION_KEY` UND den alten
-  `CALENDAR_ENCRYPTION_KEY` mit gleichem Wert. Sicherung `.env.bak.20260811`.
-  Die alte Zeile kann weg, sobald kein Rueckfall auf aeltere Images mehr denkbar ist.
-- **`/opt/tessera/docker-compose.yml`**: von Hand um die neue Variable ergaenzt,
-  Sicherung `docker-compose.yml.bak.20260811`. Driftet vom Repository ab.
-- **Testdaten auf alpha**: 405 Benutzer und die AD-gebundene Gruppe `Claude_VT`
-  (9 Mitglieder) aus dem Sync vom 11.8. Der User wirft vor dem Go-live ohnehin
-  alles raus.
-- **Deploy-Regel**: `pull`/`up`/`restart` macht der User. Konfigurationsdateien
-  auf dem Server darf Claude bearbeiten (seit 2026-08-11), mit Sicherung vorher.
-
-<context>
-Der rote Faden der Sitzung war, dass genau ein ausfuehrbarer Test (UAT 2, weil
-read-only) den einen Fehler gefunden hat, den alle Reviews und 500+ Unit-Tests
-durchgelassen hatten. Die uebersprungenen Tests sind bewusst uebersprungen, nicht
-vergessen — die Begruendung steht in 16-UAT.md.
-
-Die vier Backlog-Punkte sind allesamt "vor dem Verkauf an externe Kunden".
-Intern draengt keiner davon. Drei brauchen zuerst Entscheidungen des Users, der
-vierte ist reine Umsetzung.
-</context>
-
-<next_action>
-Mit dem User klaeren, was drankommt: einer der vier Backlog-Punkte oder die
-Planung eines neuen Meilensteins nach v1.2. Ohne seine Entscheidungen sind die
-drei groesseren Punkte nicht sinnvoll zu starten — der kleine
-(Vorgabewert entfernen, Schluessel in den Beispiel-Umgebungsdateien
-dokumentieren) laesst sich sofort umsetzen, sobald der Dateizugriff auf die
-`.env*`-Vorlagen moeglich ist.
-</next_action>