docs: alle Anleitungen gegen den Code geprueft und nachgearbeitet

Anwender-, Administrations-, Betriebs- und Entwicklungsanleitung gegen
Code und Oberflaechentexte abgeglichen; falsche und veraltete Stellen
korrigiert, fehlende Funktionen ergaenzt. Willkommensmail: Hinweis
nennt jetzt sechs statt vier Felder.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

docs/anleitung-administration.md

@@ -84,7 +84,7 @@ Alles, was für die Anmeldung technisch nötig ist, fügt Tessera immer automati
 | `{{benutzername}}` | Benutzername für die Anmeldung | max.mustermann |
 | `{{email}}` | E-Mail-Adresse des Benutzers | max.mustermann@example.com |
 | `{{adresse}}` | Adresse von Tessera | https://tessera.example.com |
-| `{{firma}}` | Name des Mandanten | Beispiel GmbH |
+| `{{firma}}` | Name Ihrer Organisation | Beispiel GmbH |
 
 Andere Platzhalter kennt Tessera nicht: die Seite nennt sie schon beim Tippen („Unbekannter Platzhalter {{xyz}}“), und das Speichern wird abgelehnt.
 
@@ -188,14 +188,18 @@ Sucht gezielt einzelne AD-Benutzer über einen Freitext (Name, Benutzername oder
 
 Eine Liste einzelner Benutzernamen, die **nie** importiert werden – typischerweise technische Dienstkonten wie `administrator`, `krbtgt`, `guest` oder `ldap$`. Sie wirkt zusätzlich zum Gruppen-/OU-Filter, also unabhängig davon, ob der Eintrag im gefilterten Suchbereich läge. Die Liste muss über „Ausschlussliste speichern“ gesichert werden.
 
+### Zeitplan
+
+Der Abschnitt **Zeitplan** erscheint, sobald die Verbindung einmal gespeichert wurde. Er legt fest, wie oft Tessera das Verzeichnis selbstständig abgleicht und ob die Anbindung eingeschaltet ist. Er hat einen eigenen Knopf „Speichern“. Er enthält zwei Einstellungen:
+
+- **Sync-Intervall** (in Minuten) – der Wert **0** bedeutet: automatische Synchronisation ist deaktiviert, der Abgleich läuft dann nur von Hand (die Seite zeigt dazu „deaktiviert“ neben dem Feld). Ein Wert größer 0 lässt Tessera in diesem Abstand automatisch synchronisieren. Beim allerersten Speichern der Verbindung ist das Intervall mit **60 Minuten** vorbelegt; Sie können es im Zeitplan jederzeit ändern.
+- **Schalter „Aktiviert“ / „Deaktiviert“** – schaltet die Anbindung insgesamt ein oder aus (siehe den Hinweis unten).
+
+**Wichtiges, im Code verifiziertes Verhalten:** Der Schalter „Aktiviert/Deaktiviert“ im Abschnitt „Zeitplan“ (Feld `isActive` der LDAP-Konfiguration) ist **kein** „Auto-Sync aus“-Schalter. Er entscheidet serverseitig, ob sich Benutzer, deren Konto kein lokales Passwort hat (also alle per LDAP importierten Konten), überhaupt noch **anmelden** dürfen. Wird dieser Schalter deaktiviert, werden nicht etwa nur zukünftige Sync-Läufe pausiert – jeder verzeichnisgeführte Benutzer wird sofort von der Anmeldung ausgesperrt, unabhängig vom Sync-Intervall. Um ausschließlich die automatische Synchronisation abzuschalten, ohne bestehende Anmeldungen zu blockieren, ist stattdessen das Sync-Intervall auf 0 zu setzen.
+
 ### Synchronisation
 
-Zwei Zeitpunkte für den Sync-Lauf:
-
-- **Sync-Intervall (Minuten)** – der Wert **0** bedeutet: automatische Synchronisation ist deaktiviert. Ein Wert größer 0 lässt Tessera in diesem Abstand automatisch synchronisieren.
-- **„Jetzt synchronisieren“** – löst unabhängig vom Intervall sofort einen Sync-Lauf aus.
-
-**Wichtiges, im Code verifiziertes Verhalten:** Der Schalter „Aktiviert/Deaktiviert“ in diesem Abschnitt (Feld `isActive` der LDAP-Konfiguration) ist **kein** „Auto-Sync aus“-Schalter. Er entscheidet serverseitig, ob sich Benutzer, deren Konto kein lokales Passwort hat (also alle per LDAP importierten Konten), überhaupt noch **anmelden** dürfen. Wird dieser Schalter deaktiviert, werden nicht etwa nur zukünftige Sync-Läufe pausiert – jeder verzeichnisgeführte Benutzer wird sofort von der Anmeldung ausgesperrt, unabhängig vom Sync-Intervall. Um ausschließlich die automatische Synchronisation abzuschalten, ohne bestehende Anmeldungen zu blockieren, ist stattdessen das Sync-Intervall auf 0 zu setzen.
+Der Abschnitt **Synchronisation** zeigt den Zeitpunkt der letzten Synchronisation („Noch nie synchronisiert“, solange noch keiner lief). Über **„Jetzt synchronisieren“** lösen Sie unabhängig vom Zeitplan sofort einen Sync-Lauf aus.
 
 Nach einem Lauf zeigt Tessera einen Ergebnisbericht mit mehreren Zeilen:
 
@@ -230,6 +234,24 @@ Beim Umschalten eines deaktivierten Moduls auf „Aktiviert“ öffnet sich ein
 
 Ein bereits aktiviertes Modul lässt sich direkt über den Schalter wieder deaktivieren, ohne Rückfrage.
 
+### Die Modulliste
+
+Die Seite **Administration → Module** listet alle verfügbaren Module, nach Kategorie gruppiert. Zu jedem Modul sehen Sie:
+
+- den Namen, daneben die **Version** des Moduls (mit vorangestelltem „v“);
+- die Markierung **System**, wenn es sich um ein mitgeliefertes Modul von Tessera handelt (das trifft derzeit auf alle Module zu; auch sie müssen für Ihre Organisation erst aktiviert werden);
+- eine kurze Beschreibung;
+- den Zustand „Aktiviert“ oder „Deaktiviert“ und den Schalter zum Umschalten.
+
+Oben auf der Seite führen die Verweise **„Freigaben-Matrix“** und **„Kategorien“** direkt zu den beiden Seiten, auf denen Sie die Freigaben und die Gruppierung der Module festlegen (siehe die folgenden Abschnitte).
+
+#### Zertifikatsmanager und Domaincheck
+
+Diese beiden Module (Kategorien „Sicherheit“ bzw. „Domains“) haben keine eigenen Einstellungen, die Sie als Administrator pflegen müssten. Es genügt, sie zu aktivieren (Schalter in der Modulliste) und die Freigabe „Benutzen“ an die gewünschten Gruppen oder Benutzer zu vergeben; Administratoren haben nach der Aktivierung automatisch Zugriff. Die Stufe „Verwalten“ schaltet bei beiden nichts zusätzlich frei.
+
+- **Zertifikatsmanager:** Anwender analysieren, konvertieren und bearbeiten Zertifikate. Der Zertifikatsmanager speichert nichts – weder Zertifikate noch Schlüssel oder Passwörter. Eine Ausnahme im Ablauf ist das Nachladen eines fehlenden Zwischenzertifikats („Fehlendes Zertifikat holen“): Das geschieht nur auf Knopfdruck des Anwenders, und der Tessera-Server ruft dann die im Zertifikat hinterlegte Adresse ab, sofern sie öffentlich erreichbar ist. Interne Adressen lehnt er ab.
+- **Domaincheck:** Anwender prüfen, ob eine Domain frei oder bereits registriert ist; das Modul schlägt dazu auch die Endungen .de, .com, .net und .org vor. Es fragt dafür den Namensdienst (DNS) ab, hat keine Einstellungen und braucht keine Zugangsdaten. Wer Domains tatsächlich registrieren soll, benötigt das getrennte Modul „Domains“ (siehe „Domains: AutoDNS anbinden“).
+
 ### Freigaben-Matrix
 
 Unter „Administration → Freigaben“ erscheint eine Tabelle: Zeilen sind die aktivierten Module (nach Kategorie gruppiert), Spalten sind die Gruppen des Mandanten (angezeigt mit ihrem internen Namen, falls gesetzt, sonst mit dem regulären Namen). Jede Zelle ist eine Checkbox, die die Freigabe für genau diese Kombination aus Modul und Gruppe an- oder abschaltet – Änderungen werden sofort gespeichert. Bei einer freigegebenen Zelle erscheint neben der Checkbox ein Auswahlfeld für die **Stufe**: „Benutzen“ (Standard) oder „Verwalten“. Ein erneutes Ankreuzen ändert die Stufe nie; sie wechseln Sie nur über das Auswahlfeld. Über das Suchfeld lässt sich sowohl nach Modul- als auch nach Gruppennamen filtern; ein Treffer auf nur einer Achse leert die andere Achse nicht.
@@ -251,6 +273,8 @@ Was „Verwalten“ je Modul freischaltet:
 | Handelsware | Reiter „Einstellungen“ (Standard-Erlöskonto, Startwert Gegenkonto) |
 | Proxmox | Server anlegen, ändern und löschen, Verbindung prüfen, „Jetzt aktualisieren“ |
 | Nextcloud-Status | Clouds eintragen, ändern und entfernen, Logos hinterlegen, „Jetzt prüfen“ |
+| Domains | Anbindung einrichten, Kunden und Kontakte anlegen, Domains registrieren (siehe „Domains: AutoDNS anbinden“) |
+| Dateien | Reiter „Einstellungen“ ansehen und „Verbindung prüfen“; die Adresse der Nextcloud ändern nur Administratoren (siehe „Dateien: Nextcloud anbinden“) |
 | DKV-Rechnung | das gesamte Modul – „Benutzen“ allein reicht dort nicht; Benutzer mit nur „Benutzen“ sehen eine Seite, die das erklärt |
 
 Hat jemand über mehrere Wege Zugriff (zum Beispiel direkt „Benutzen“ und über eine Gruppe „Verwalten“), gilt die **höhere** Stufe.
@@ -419,6 +443,12 @@ Das Modul „Domains“ (Gruppe Domains) aktivieren Sie wie jedes Modul im Markt
 
 Unter **Administration → E-Mail-Versand (SMTP)** wird der Mailversand konfiguriert: Host, Port, Verschlüsselung (Keine, STARTTLS oder SSL-TLS), Benutzername, Passwort, die Absenderadresse und optional das Feld „Fehlermeldungen an“ (siehe unten). Das Passwortfeld wird aus Sicherheitsgründen nie mit dem gespeicherten Wert vorbefüllt – es bleibt beim Laden immer leer und wird nur mitgesendet, wenn tatsächlich ein neuer Wert eingegeben wurde.
 
+Die Seite ist in drei Abschnitte gegliedert:
+
+- **Server** – Host, Port, Verschlüsselung, Benutzername und Passwort des Mailservers. Neben dem Passwortfeld blendet der Knopf **„Passwort anzeigen“** (danach „Passwort verbergen“) die Eingabe zur Kontrolle im Klartext ein.
+- **Absender und Empfänger** – die Absenderadresse („Absenderadresse (Von)“) und das Feld „Fehlermeldungen an“.
+- **Prüfen und speichern** – die Knöpfe „Verbindung testen“ und „Einstellungen speichern“ sowie das Feld „Test-E-Mail an“. Der Test verwendet die Werte, die gerade im Formular stehen, Sie können ihn also vor dem Speichern ausführen.
+
 Über „Test-E-Mail an“ lässt sich optional eine echte Testnachricht an eine beliebige Adresse verschicken, um die Konfiguration vor dem produktiven Einsatz zu prüfen.
 
 **Fehlermeldungen an** ist eine optionale Adresse für den Knopf „Fehler melden“, den alle Anwender rechts in der Kopfleiste sehen. Sobald hier eine Adresse gespeichert ist, wirkt der Knopf: Ein Klick schickt ein Bildschirmfoto der aktuellen Seite samt Beschreibung des Anwenders, Adresse der Seite, Version und Kanal von Tessera, Browser, angemeldetem Benutzer (Name, Benutzername, Rolle) und den letzten Fehlermeldungen des Browsers als E-Mail an diese Adresse — der Betreff beginnt mit „[Tessera Fehlermeldung]“ und einem Kürzel für die Herkunft der Meldung („[Browser]“, „[Desktop/Windows]“ oder „[Desktop/Linux]“), nach dem sich das Postfach sortieren oder filtern lässt; im Text nennt die Zeile „Herkunft“ bei Browsern Browser und Betriebssystem (Beispiel „Browser — Chrome 129 auf Windows“), bei der Desktop-App Betriebssystem, Version und Stand (Beispiel „Desktop-App (Windows), Tessera-App 1.2.0 · Stand a6d1a64“); das Bild hängt als PNG an. Der Knopf ist immer sichtbar; ohne Adresse erhalten Anwender beim Senden den Hinweis, dass noch kein Postfach eingerichtet ist (Administratoren sehen zusätzlich einen Link hierher). Je Benutzer sind höchstens fünf Meldungen in zehn Minuten möglich; Bilder über 4 MB werden abgewiesen. Der Versand nutzt dieselben SMTP-Zugangsdaten wie alle anderen E-Mails des Mandanten. Für Installationen ohne gespeicherte SMTP-Einstellungen kennt der Betrieb einen Rückfall über die Umgebungsvariable `TESSERA_BUGREPORT_TO` (Betriebshandbuch, Kapitel 3). Bitte beachten: Das Bild zeigt alles, was der Anwender gerade sieht — wählen Sie das Postfach entsprechend.
@@ -446,7 +476,7 @@ Ein Mandant lässt sich **nicht löschen, solange er noch aktive Benutzer hat**
 
 | Symptom | Wahrscheinliche Ursache |
 |---|---|
-| Alle Benutzer aus dem Active Directory können sich plötzlich nicht mehr anmelden, obwohl der Sync-Lauf zuvor erfolgreich war. | Der Schalter „Aktiviert/Deaktiviert“ im Sync-Bereich der LDAP-Konfiguration wurde ausgeschaltet. Dieser Schalter sperrt sofort jede Anmeldung verzeichnisgeführter Konten – er ist **nicht** gleichbedeutend mit einer pausierten Synchronisation (siehe Kapitel 4). Zum Aussetzen nur der automatischen Synchronisation stattdessen das Sync-Intervall auf 0 setzen und den Schalter aktiviert lassen. |
+| Alle Benutzer aus dem Active Directory können sich plötzlich nicht mehr anmelden, obwohl der Sync-Lauf zuvor erfolgreich war. | Der Schalter „Aktiviert/Deaktiviert“ im Abschnitt „Zeitplan“ der LDAP-Konfiguration wurde ausgeschaltet. Dieser Schalter sperrt sofort jede Anmeldung verzeichnisgeführter Konten – er ist **nicht** gleichbedeutend mit einer pausierten Synchronisation (siehe Kapitel 4). Zum Aussetzen nur der automatischen Synchronisation stattdessen das Sync-Intervall auf 0 setzen und den Schalter aktiviert lassen. |
 | „Verbindung testen“ oder ein Sync-Lauf schlägt mit einem Bind-/Authentifizierungsfehler fehl (z. B. einer Meldung, die auf einen fehlgeschlagenen Sicherheitskontext hinweist). | Häufigste Ursache ist eine vertauschte Eingabe von Bind-DN und Basis-DN, oder ein falsches Bind-Passwort. Beide Felder in den Verbindungseinstellungen prüfen. |
 | Ein AD-Benutzer wird zwar synchronisiert, aber ohne E-Mail-Adresse angelegt oder aktualisiert; Passwort-Reset-Mails erreichen ihn nicht. | Normales, dokumentiertes Verhalten seit E-Mail optional ist: Die im AD hinterlegte Adresse gehört bereits zu einem anderen Konto und wird deshalb nicht übernommen. Der Ergebnisbericht des Sync-Laufs listet solche Fälle unter „Konten ohne E-Mail-Adresse“ auf. Die Kollision im betroffenen Konto (dem Halter der Adresse) prüfen und die Adresse dort ggf. korrigieren. |
 | Eine AD-Gruppe erscheint im Sync-Bericht als gelöscht, obwohl sie im Verzeichnis noch existiert. | Die Gruppe wurde vermutlich außerhalb der konfigurierten Basis-DN(s) verschoben. Tessera prüft vor einer Löschung zwar zusätzlich die Domänenwurzel, kann eine Verschiebung aber nur innerhalb der erreichbaren Suchbereiche erkennen. Basis-DN(s) und Import-Filter prüfen. |