docs(quick-260923-le6): Proxmox-Abnahmebefunde behoben (PMG-Teilsumme, Aktualisieren nur fuer Admins)

Uebergabe-Notizen der pausierten Sitzung entfernt, die Arbeit ist wieder aufgenommen.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

.planning/.continue-here.md

@@ -1,154 +0,0 @@
----
-context: default
-phase: null
-task: null
-total_tasks: null
-status: paused
-last_updated: 2026-09-22T14:15:00.000Z
----
-
-<current_state>
-Kein laufender Meilenstein. Alle 18 Phasen sind abgeschlossen; seit der Freigabe
-1.2.0 laeuft die Arbeit als Quick-Tasks. **Version 1.3.0 wurde am 22.09.2026
-freigegeben** (Tag `v1.3.0` auf `d146234`, Abbilder `live` und `v1.3.0`,
-Gitea-Release mit `Tessera-Setup-1.3.0.exe` und `Tessera-1.3.0.AppImage`).
-
-`main == origin/main` auf `1315f37`, Arbeitsbaum sauber, CI gruen. Der lokale
-Docker-Stack laeuft mit genau diesem Stand (web, api, db).
-
-Unterbrochen wurde NICHT mitten in einer Aufgabe — alle acht Auftraege dieser
-Sitzung sind fertig, nachgewiesen und gepusht. Der naechste Auftrag (Proxmox)
-ist inhaltlich geklaert, wartet aber auf Zugangsdaten des Nutzers.
-</current_state>
-
-<completed_work>
-
-Diese Sitzung (21.09. abends bis 22.09. nachmittags):
-
-- quick-260921-pi9 — Dashboard-Widget „Bilderrahmen" (Upload oder https-Adresse, Diashow, Grossansicht)
-- quick-260921-qd3 — Dashboard-Widget „XFrame" (Webseite als Rahmen, Sandbox ohne Top-Navigation)
-- quick-260922-frg — Tray-Update-Eintrag nennt den Grund einer fehlgeschlagenen Pruefung, Klick prueft erneut, Pruefung alle 4 h
-- fast `747a4d4` — Download-Knoepfe im Desktop-Client oeffnen den System-Browser (waren ohne Funktion)
-- quick-260922-ge2 — XFrame: Ausschnitt waehlen und einpassen, Zoom, „Nur anzeigen"
-- **Freigabe 1.3.0** — CHANGELOG abgeschlossen, `live` vorgezogen, Tag gepusht, drei CI-Laeufe gruen
-- quick-260922-hk4 — Bilderrahmen-Bilder in den Dateibereich `user-files` statt in die Datenbank, automatischer Umzug beim Start, Selbstheilung aus der alten Spalte
-- quick-260922-m1h — Widget-Typen an EINER Stelle, Katalog aus der Registry + Modulfilter, Kachel kennt ihr Modul
-
-Jeder Punkt wurde im Browser (Playwright-MCP) gegen den lokalen Stack geprueft;
-die Pruefprotokolle stehen in den jeweiligen SUMMARY.md unter `.planning/quick/`.
-</completed_work>
-
-<remaining_work>
-
-1. **Proxmox-Modul** (PVE, PBS, PMG) — **nur beobachten**, keine Eingriffe.
-   Seite: Server anbinden, VMs/Container mit CPU, Arbeitsspeicher, Plattenplatz
-   und Erreichbarkeit; bei PBS Sicherungslaeufe und Pruefstatus, bei PMG die
-   Mail-Zahlen (zugestellt, gefiltert, blockiert, Quarantaene).
-2. **Proxmox-Kachel** — kompakte Fassung ueber den neuen Weg (drei Stellen,
-   siehe unten). Vorschlag fuer den Inhalt steht in der Sitzung: Ampel je Server
-   + drei Balken; PBS: Alter der letzten Sicherung, Pruefergebnis, freier Platz;
-   PMG: Tageszahlen in einer Zeile. Idee fuer spaeter: eine Sammelkachel
-   „Alles in Ordnung?" mit einer Zeile je Server.
-</remaining_work>
-
-<decisions_made>
-
-- **Bilder auf die Festplatte, nicht in die Datenbank** — Grund ist die Sicherung
-  (`pg_dump` von Hand; 30 Bilder à 5 MiB je Benutzer waeren 150 MB pro Benutzer
-  im Abzug), nicht die Geschwindigkeit, und die Einheitlichkeit mit Avataren
-  (`user-files/avatars`) und DKV-Exporten.
-- **Zweistufige Umstellung:** Spalte `data` bleibt vorerst stehen; `getBytes`
-  stellt eine fehlende Datei daraus wieder her. DROP erst, wenn alpha UND live
-  einmal mit dieser Version gelaufen sind — Todo liegt unter
-  `.planning/todos/pending/2026-09-22-dashboard-image-data-spalte-entfernen.md`.
-- **Proxmox: nur beobachten**, Zugriff ueber die normale Modulfreigabe
-  (Nutzeransage 22.09.).
-- **Kacheln gesperrter Module erscheinen gar nicht erst im Katalog**
-  (Nutzeransage 22.09.) — so umgesetzt in m1h.
-- **Basic-Auth am Proxy vor alpha bleibt** (Nutzerentscheidung). Aus dem
-  Firmennetz greift eine Ausnahme; von aussen 401, und der Client sagt das seit
-  frg selbst. **Nicht erneut vorschlagen, das Thema ist entschieden.**
-</decisions_made>
-
-<blockers>
-- Proxmox braucht Zugangsdaten und Serveradressen des Nutzers (API-Token, nur
-  lesend, z. B. Rolle `PVEAuditor`). Der Nutzer legt sie morgen an. Planung und
-  Modulskelett koennen vorher entstehen, die Anbindung nicht getestet werden.
-</blockers>
-
-## Required Reading (in order)
-
-1. `.planning/quick/260922-m1h-dashboard-widgets-ein-modul-bringt-seine/260922-m1h-SUMMARY.md` — Abschnitt „So fuegt man kuenftig eine Modul-Kachel hinzu": drei Stellen statt sieben.
-2. `docs/anleitung-entwicklung.md` — Modul-Walkthrough (Backend + Frontend) und der neue Abschnitt „Eine Kachel zum Modul".
-3. `.planning/quick/260922-hk4-bilderrahmen-bilder-auf-die-festplatte/260922-hk4-SUMMARY.md` — Dateiablage, wenn das Proxmox-Modul jemals Dateien speichert.
-4. `.planning/STATE.md` — Abschnitte „Current Position" und die letzten Zeilen der Quick-Tabelle.
-
-## Critical Anti-Patterns (do NOT repeat these)
-
-- [ANTI-PATTERN]: Planannahmen ueber den Bestand ungeprueft uebernehmen → m1h: der Plan
-  behauptete, `apps/web` importiere `@tessera/shared` bereits; es gab KEINE
-  Abhaengigkeit, und zwei Kommentare hielten das als Absicht fest. Der Executor
-  hat vor der ersten Zeile Code nachgemessen (Bau, Produktions-Abbild, natives
-  Type-Stripping unter `node:24-alpine`) statt der Annahme zu folgen.
-  **Mitigation:** jede Plan-Behauptung ueber vorhandene Abhaengigkeiten oder
-  Muster vor dem Umsetzen einmal am Code pruefen.
-- [ANTI-PATTERN]: Vorschau und Darstellung mit unterschiedlichen Layoutmassen →
-  ge2: die Kachel nutzte eine andere Rahmenhoehe als die Vorschau, wodurch Seiten
-  mit fensterhoehen-abhaengigem Layout (`vh`) an anderer Stelle lagen als
-  ausgewaehlt. **Mitigation:** Auswahl und Darstellung immer gegen dieselben
-  Masse rechnen.
-- [ANTI-PATTERN]: `position: fixed` in einer Dashboard-Kachel → pi9: die
-  Grossansicht blieb auf die Kachelflaeche beschraenkt, weil `react-grid-item`
-  eine CSS-`transform` traegt und damit zum Bezugsrahmen wird.
-  **Mitigation:** Overlays aus einer Kachel per `createPortal` in `document.body`
-  rendern (Muster: Kalender-Tooltip, jetzt auch `picture-frame-lightbox.tsx`).
-- [ANTI-PATTERN]: Playwright klickt in einem per `transform` skalierten iframe
-  nicht → ge2. **Mitigation:** Klickpunkt umrechnen und per
-  `elementFromPoint` + `mouse.click` pruefen; ist eine Werkzeuggrenze, kein Produktfehler.
-
-## Infrastructure State
-
-- **Lokaler Stack:** `docker compose` mit web, api, db laeuft auf dem Stand
-  `1315f37` (`up -d --build` am 22.09. nachmittags). `up` allein baut NICHT neu.
-  DB ohne Host-Port — Prisma vom Host ueber die Container-IP
-  (`docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' tessera-ctl-db-1`,
-  `tessera:tessera_dev`).
-- **Testdaten lokal:** im Admin-Dashboard stehen ein Bilderrahmen (zwei Bilder)
-  und ein XFrame auf `example.com` mit Ausschnitt. Harmlos, darf bleiben.
-- **alpha** (`alpha.tessera.ctl.de`) wurde am 22.09. auf `80a0d23` gezogen; die
-  spaeteren Commits (hk4, m1h) sind dort noch nicht drauf. Basic-Auth am Proxy
-  bleibt — von aussen 401, deshalb Messungen gegen alpha nur am Proxy vorbei
-  (auf dem Testserver `docker compose exec api` gegen `localhost:3001` oder
-  Host-Port 3000).
-- **Live** (`tessera.ctl.de`) laeuft noch auf 1.2.0; der Pull auf 1.3.0 steht beim
-  Nutzer aus.
-- **Desktop-Client:** neuester CI-Stempel `5aa577a` (Lauf 405). Der Nutzer muss
-  ihn einmal per Browser installieren, danach laeuft das Update ueber das Tray.
-
-<context>
-Die Sitzung war eine lange Kette kleiner, vollstaendig abgeschlossener Auftraege.
-Der rote Faden am Ende: Der Nutzer will als naechstes ein Proxmox-Modul, das
-zusaetzlich als Kachel auf dem Dashboard erscheint — und kuenftig sollen weitere
-Module dasselbe tun. Deshalb wurde zuerst das Fundament geraeumt (m1h), damit
-eine Modul-Kachel drei Handgriffe kostet statt sieben und Kacheln gesperrter
-Module automatisch verschwinden. Das Geruest dafuer (`WIDGET_MODULE_SLUGS`,
-serverseitiger Filter in `dashboard.service.ts`) ist vorhanden und noch leer;
-Proxmox waere der erste Eintrag.
-
-Fuer Proxmox selbst ist vorgemerkt: Serveradressen traegt nur ein Administrator
-ein (damit ist die Adresse eine bewusste Freigabe statt beliebiger Eingabe), fuer
-genau diese Adressen werden Zertifikatsfehler toleriert (Muster:
-`favorites/icon-discovery.service.ts`, undici-Dispatcher — Nodes globales `fetch`
-ignoriert ihn), Zugangsdaten verschluesselt per `CryptoService` (Muster
-`ldap-config.service.ts`), Abfrage im Hintergrund je Mandant nach dem Muster
-`dkv-scheduler.service.ts` (`onApplicationBootstrap`, nicht `onModuleInit`).
-</context>
-
-<next_action>
-Start with: Proxmox-Modul planen (`/gsd-quick` mit eigenem Plan wie bei ge2/hk4) —
-Datenmodell fuer Serverzugaenge (Adresse, Typ `pve|pbs|pmg`, verschluesselter
-Token), Abfrage im Hintergrund je Mandant, Modulskelett nach
-`docs/anleitung-entwicklung.md`, Seite mit Serverliste und Auslastung. Die
-Kachel kommt danach als eigener kleiner Auftrag ueber den neuen Weg. Vorher beim
-Nutzer abholen: Serveradressen und die lesenden API-Token.
-</next_action>

.planning/HANDOFF.json

@@ -1,45 +0,0 @@
-{
-  "version": "1.0",
-  "timestamp": "2026-09-22T14:15:00.000Z",
-  "phase": null,
-  "phase_name": "kein laufender Meilenstein — Quick-Tasks nach der Freigabe 1.3.0",
-  "phase_dir": null,
-  "plan": null,
-  "task": null,
-  "total_tasks": null,
-  "status": "paused",
-  "completed_tasks": [
-    {"id": 1, "name": "quick-260921-pi9 Bilderrahmen-Widget", "status": "done", "commit": "737974b,c080580,c3b4597,8bf3601"},
-    {"id": 2, "name": "quick-260921-qd3 XFrame-Widget", "status": "done", "commit": "d63d9f5,20a9eb2"},
-    {"id": 3, "name": "quick-260922-frg Tray-Update nennt den Grund, prueft alle 4 h", "status": "done", "commit": "d73aad1"},
-    {"id": 4, "name": "fast Download-Knoepfe im Desktop-Client", "status": "done", "commit": "747a4d4"},
-    {"id": 5, "name": "quick-260922-ge2 XFrame-Ausschnitt, Zoom, Nur anzeigen", "status": "done", "commit": "445b1d3,30fdd99,cf70a19"},
-    {"id": 6, "name": "Freigabe 1.3.0", "status": "done", "commit": "d146234 (Tag v1.3.0)"},
-    {"id": 7, "name": "quick-260922-hk4 Bilder in den Dateibereich statt in die Datenbank", "status": "done", "commit": "9039cea,8cbfb8b,82472ee"},
-    {"id": 8, "name": "quick-260922-m1h Modul bringt seine Kachel selbst mit", "status": "done", "commit": "56c07c3,8be0725"}
-  ],
-  "remaining_tasks": [
-    {"id": 9, "name": "Proxmox-Modul (PVE/PBS/PMG), nur beobachten — Plan schreiben und bauen", "status": "not_started"},
-    {"id": 10, "name": "Proxmox-Kachel (kompakte Version) ueber den neuen Weg", "status": "not_started"}
-  ],
-  "blockers": [
-    {"description": "Proxmox braucht Zugangsdaten des Nutzers (API-Token, nur lesend) und die Server-Adressen", "type": "human_action", "workaround": "Nutzer legt sie morgen an; Planung und Geruest koennen vorher entstehen"}
-  ],
-  "async_jobs": [],
-  "human_actions_pending": [
-    {"action": "Live-Server auf 1.3.0 ziehen (docker compose -f docker-compose.prod.yml pull && up -d --force-recreate api web)", "context": "Version 1.3.0 ist freigegeben, Abbilder live/v1.3.0 liegen bereit", "blocking": false},
-    {"action": "Neuen Desktop-Client einmal per Browser installieren", "context": "Danach laeuft das Update ueber das Tray-Symbol; Live hatte den Updater bis 1.2.0 nicht", "blocking": false},
-    {"action": "Proxmox-API-Token (nur lesend, z. B. Rolle PVEAuditor) fuer PVE, PBS und PMG anlegen und die Server-Adressen bereithalten", "context": "Voraussetzung fuer das naechste Modul; der Nutzer macht das morgen", "blocking": true}
-  ],
-  "decisions": [
-    {"decision": "Bilderrahmen-Bilder liegen im Dateibereich user-files, nicht als bytea in der Datenbank", "rationale": "Sicherung laeuft per pg_dump von Hand; 30 Bilder a 5 MiB je Benutzer waeren 150 MB pro Benutzer im Abzug. Geschwindigkeit war NICHT das Argument. Dazu Einheitlichkeit mit Avataren und DKV-Exporten.", "phase": null},
-    {"decision": "Spalte data bleibt vorerst stehen, DROP erst nach nachgewiesenem Lauf auf alpha und live", "rationale": "Zweistufige Umstellung; getBytes stellt eine fehlende Datei aus data wieder her (alter pg_dump + leeres Volume).", "phase": null},
-    {"decision": "Widget-Typen an EINER Stelle (packages/shared), Katalog filtert nach Modulzugriff", "rationale": "Vorarbeit fuer Proxmox und weitere Modul-Kacheln; vorher sieben Hartkodierungen je Kachel.", "phase": null},
-    {"decision": "Proxmox zunaechst NUR beobachten, keine Eingriffe; Zugriff ueber die normale Modulfreigabe", "rationale": "Ausdrueckliche Ansage des Nutzers am 22.09.", "phase": null},
-    {"decision": "Kacheln gesperrter Module erscheinen gar nicht erst im Katalog", "rationale": "Ausdrueckliche Ansage des Nutzers am 22.09.", "phase": null},
-    {"decision": "Basic-Auth am Proxy vor alpha bleibt", "rationale": "Entscheidung des Nutzers; aus dem Firmennetz greift eine Ausnahme. Nicht mehr ansprechen.", "phase": null}
-  ],
-  "uncommitted_files": [],
-  "next_action": "Proxmox-Modul planen: Prisma-Modelle fuer Serverzugaenge (Adresse, Typ pve|pbs|pmg, Token verschluesselt per CryptoService), Poller je Mandant nach dem Muster dkv-scheduler (onApplicationBootstrap), Modul-Skelett nach docs/anleitung-entwicklung.md, danach die Kachel ueber den neuen Weg (WIDGET_TYPES + WIDGET_MODULE_SLUGS + registerWidget).",
-  "context_notes": "Sitzung lief ueber 1,5 Tage: zwei neue Widgets, drei Desktop-Korrekturen, Freigabe 1.3.0, Speicherumstellung, Widget-Aufraeumen. Alles gepusht, main == origin/main auf 1315f37, Arbeitsbaum sauber, CI gruen. Der lokale Docker-Stack laeuft mit dem aktuellen Stand; Testfavoriten/Test-Widgets im Admin-Dashboard sind lokal stehen geblieben (harmlos). Naechster Schritt ist inhaltlich klar, haengt aber an den Zugangsdaten des Nutzers."
-}

.planning/STATE.md

@@ -5,9 +5,9 @@ current_phase: 18
 current_phase_name: desktop-client-fertigstellen
 status: verified
 stopped_at: "22.09.2026: 1.3.0 freigegeben; danach quick-260922-hk4 — Bilderrahmen-Bilder liegen jetzt im Dateibereich (user-files) statt in der Datenbank, Umzug laeuft automatisch beim Start, Selbstheilung aus der alten data-Spalte eingebaut; im Browser nachgewiesen. NAECHSTER SCHRITT, vom Nutzer noch nicht bestaetigt: (1) einmaliges Aufraeumen, damit ein Modul seine Dashboard-Kachel selbst mitbringt (heute sieben Hartkodierungen je Kachel; Katalog zeigt auch Kacheln gesperrter Module; gesperrte Kachel bleibt leer statt zu erklaeren) — das Geruest WIDGET_MODULE_MAP existiert und ist leer; (2) danach das Proxmox-Modul (PVE/PBS/PMG) und seine Kachel. Offen beim Nutzer: Live-Server auf 1.3.0 ziehen, neuen Client per Browser installieren."
-last_updated: "2026-09-22T21:10:00.000Z"
-last_activity: 2026-09-22
-last_activity_desc: Quick 260922-vdk — Dashboard-Raster misst seine Breite auch aus dem Leerzustand; im echten Linux-Client gegengemessen (469 -> 389 px, Ziehen erreicht den rechten Rand)
+last_updated: "2026-09-23T15:30:00.000Z"
+last_activity: 2026-09-23
+last_activity_desc: Quick 260923-le6 — letzte Abnahmebefunde zum Proxmox-Modul behoben (PMG-Teilsumme, Aktualisieren-Knopf nur fuer Admins); 1.3.1 laeuft auf live (Nutzer bestaetigt)
 state_head: 4d485432c003a6caf68f6d85aff7de0bd27794e2
 progress:
   total_phases: 18
@@ -464,6 +464,11 @@ Gerettet aus `.continue-here.md`. Relevant fuer die noch offenen Live-Tests.
 | 260922-hk4 | **Bilderrahmen-Bilder liegen jetzt im Dateibereich statt in der Datenbank.** Frage des Nutzers nach der Freigabe 1.3.0, ob `bytea` auf Dauer sinnvoll ist. Befund: Geschwindigkeit ist NICHT das Argument (ein Bild wird je Browser einmal taeglich geladen), die SICHERUNG ist es — gesichert wird von Hand per `pg_dump`, und 30 Bilder à 5 MiB je Benutzer waeren im Extremfall 150 MB pro Benutzer in jedem Abzug (alpha-DB heute 18 MB). Dazu Einheitlichkeit: Profilbilder (`user-files/avatars`, `User.avatarPath`) und DKV-Exporte liegen laengst im Volume. Umsetzung: Spalte `storagePath`, Ablage `user-files/dashboard-images/<userId>/<uuid>.<ext>` — Dateiname IMMER vom Server (UUID + Endung aus dem erkannten Mime-Typ), `originalName` nie im Pfad; ein eigener Ordner je Benutzer ist ausdruecklich KEIN Schutz, es entscheidet weiterhin die Besitzpruefung im Dienst. Umzug laeuft automatisch beim Start (`onApplicationBootstrap` ueber `forSystem()`), idempotent; die Spalte `data` bleibt bewusst vorerst stehen (Todo fuer den DROP, erst wenn alpha und live einmal gelaufen sind). **Befund im Rundgang, eigener Commit:** eine Zeile zeigte auf eine fehlende Datei (lokal Host vs. Container-Volume; im Betrieb: alter `pg_dump` + leeres Volume) — `getBytes` stellt die Datei jetzt aus der noch vorhandenen Spalte `data` wieder her, statt 404 zu melden. **Zahlen:** api 1175 → 1188, web 640, type-check 4/4, lint 5/5, RLS-Waechter 78/78. | 2026-09-22 | 9039cea,8cbfb8b,82472ee | [260922-hk4-bilderrahmen-bilder-auf-die-festplatte](./quick/260922-hk4-bilderrahmen-bilder-auf-die-festplatte/) |
 | 260922-m1h | **Ein Modul bringt seine Dashboard-Kachel jetzt selbst mit (Vorarbeit fuer Proxmox).** Bestandsaufnahme (lesend) hatte ergeben: ein neuer Widget-Typ war an SIEBEN Stellen hartkodiert (Union-Typ, Constraints, Registry, eigene `wireXWidget()` je Typ, Aufruf in page.tsx, zweite Liste im Katalogfenster, `@IsIn` im API-DTO); die Verbindung Kachel↔Modul existierte als `WIDGET_MODULE_MAP` in `dashboard.service.ts` (filtert fail-closed), war aber nie befuellt; der Katalog zeigte jedem alle Kacheln, auch die gesperrter Module. Umbau: `WIDGET_TYPES`/`WidgetType`/`WIDGET_MODULE_SLUGS` in `packages/shared` als EINE Quelle (API validiert per `@IsIn` gegen genau sie), ein generisches `registerWidget()` statt neun Funktionen, Katalog leitet seine Liste aus der Registry ab und filtert ueber `/modules/active` (fail-closed bei Fehler, reine Funktion `visibleWidgetTypes`), nicht verfuegbare Kachel zeigt `widgets.unavailable` statt leer zu bleiben. Deckungsgleichheits-Test faengt kuenftig jede vergessene Stelle. **Befund des Executors, geprueft statt vermutet:** `apps/web` hatte KEINE Abhaengigkeit auf `@tessera/shared` (frueher bewusst) — vor der Umsetzung nachgemessen, dass Bau und Produktions-Abbild das tragen (node:24-alpine strippt die Typen nativ); Folgeregel „nur loeschbare Syntax in shared“ steht als Warnung in der Datei. Verhalten der neun Kacheln unveraendert, im Browser bestaetigt (Reihenfolge, Anlegen, Entfernen, keine rohen Schluessel). Bewusst offen: der Einstellungs-Zweig je Typ in `widget-settings-panel.tsx` und die Live-Aktualisierung des Katalogs. **Zahlen:** api 1188 → 1202, web 640 → 659, type-check 4/4, lint 5/5 (74/53 wie Basis). | 2026-09-22 | 56c07c3,8be0725 | [260922-m1h-dashboard-widgets-ein-modul-bringt-seine](./quick/260922-m1h-dashboard-widgets-ein-modul-bringt-seine/) |
 | 260922-vdk | **Dashboard-Raster misst seine Breite auch aus dem Leerzustand heraus.** Meldung des Nutzers aus dem **Linux-Client**: rechts neben dem Kalender freie Flaeche, in die sich keine Kachel schieben laesst — „als ob es keinen Anker gibt“. Aus dem Bildschirmfoto zurueckgerechnet (Spaltenbreite 51,5 px, Platzhalter auf Spalte 13 = letzte moegliche, Rasterende bei x=1459 bei ~1660 px Inhaltsbreite): das Raster rechnete mit **1200 px** statt mit der echten Breite, rechts blieben ~460 px totes Feld. Ursache: die Breitenmessung hing in `useEffect(..., [])` mit `if (!containerRef.current) return` — haengt `DashboardGrid` mit NULL Kacheln ein, rendert der fruehe Ruecksprung in den Leerzustand den gemessenen `<div>` gar nicht, der Effekt bricht ab und laeuft nie wieder, auch nicht wenn spaeter die erste Kachel entsteht. `width` blieb die ganze Sitzung auf dem Startwert 1200; react-grid-layout vergleicht strikt (`width > breakpoint`), 1200 ist damit `md` (20 Spalten, 51,6 px) statt `lg`. Fix: Ref-Rueckruf `measureRef` statt Einmal-Effekt — folgt dem Knoten ueber den Wechsel Leerzustand ↔ gefuellt, misst synchron in der Commit-Phase, haengt den ResizeObserver dort an; Fenster-Horcher als zusaetzliches Netz; `applyWidth` verwirft 0 und nicht endliche Werte. **Verhalten sonst unveraendert** — belegte Plaetze bleiben gesperrt, nichts weicht aus (Ansage des Nutzers). **Geprueft im echten Client**, nicht im Browser: `Tessera-1.3.0.AppImage` auf `DISPLAY=:10` ueber den WebKit-Remote-Inspektor gesteuert. Gleicher Fehlerfall vorher/nachher: Kachel 469 px → **389 px** bei 1000 px Bereich, Ziehen endet jetzt bei 603 px = `1000 − 8 − 389`, exakt der rechte Rand. **Messfalle notiert:** im Client gegen `style.width`/`style.transform` messen, nie gegen `getBoundingClientRect()` — bei Fenster im Hintergrund friert WebKitGTK die Animationsuhr ein und der `width`-Uebergang bleibt auf dem alten Wert stehen. **Zahlen:** web 659 → 661 Tests, type-check 4/4, lint 5/5, Biome web 53 Warnungen unveraendert. | 2026-09-22 | d9f2af3,cf67c8a | [260922-vdk-dashboard-raster-misst-seine-breite-nich](./quick/260922-vdk-dashboard-raster-misst-seine-breite-nich/) |
+| 260923-ad9 | **Dashboard-Reiter: mehrere Dashboards je Benutzer.** Wunsch des Nutzers (23.09.): mehrere Dashboards als Reiter, per Ziehen sortierbar, der erste ist der Standard und wird beim Oeffnen geladen; „als Favorit festlegen“ = nach vorn ziehen, kein zusaetzliches Kennzeichen. Umsetzung in 5 Schritten: neues Modell `Dashboard` (userId, tenantId, name, position) mit RLS wie die Nachbartabellen; `WidgetInstance.dashboardId` und `DashboardLayout.dashboardId @unique` — Kacheln und Anordnung haengen jetzt am Reiter statt am Benutzer. Handgeschriebene Migration `20260923120000_dashboard_tabs` haengt den Bestand um: Bestandsuebernahme VOR `NOT NULL`/Fremdschluessel, danach 0 verwaiste Kacheln, 0 verwaiste Anordnungen, je Benutzer genau ein Reiter auf Position 0. Fuenf Endpunkte unter `/dashboard/tabs`; `assertOwnedDashboard` laeuft als erstes in JEDEM Lese- und Schreibweg und antwortet fuer „gibt es nicht“, „Kollege“ und „fremder Mandant“ identisch (kein Orakel) — acht eigene Tests dafuer. Umsortieren und Loeschen je EINE Transaktion nach dem Muster `FavoritesService.reorder`. Riegel: 20 Reiter, 40 Zeichen, 20 Kennungen je Anfrage. Ziehen per Pointer-Ereignissen ohne neue Abhaengigkeit (Muster xframe-Ausschnitt), ausserhalb des Bearbeitungsmodus moeglich, weil „nach vorn ziehen“ das Festlegen des Standards IST; Umbenennen und Loeschen bleiben im Bearbeitungsmodus, Loeschen mit `alertdialog`-Rueckfrage. **Raster unangetastet** (`FREE_PLACEMENT_COMPACTOR`/`preventCollision` und die Breitenmessung aus 260922-vdk) — vom Verifizierer per `git diff` nachgewiesen. **Rundgang mit zwoelf Punkten bestanden** (Bestand 5 Kacheln erhalten, Reiter leer angelegt, Kacheln je Reiter getrennt, Ziehen ordnet um, nach Neuladen kommt der erste Reiter, Umbenennen, Loeschen mit Rueckfrage, letzter Reiter ohne Loeschknopf, Kachelbreite 531 px bei 1625 px Bereich). **Kleiner Befund, offen:** die Knopf-Beschriftungen nennen den betroffenen Reiter nicht (nur das Bestaetigungsfenster tut es). **Zahlen:** api 1202 → 1240 Tests, web 661 → 693, type-check 4/4, lint 5/5 mit 53 Warnungen unveraendert, `migrate diff` ohne Unterschied. | 2026-09-23 | 9c51823,df7a5e7,d34f682,05feaa3,58ce88e | [260923-ad9-dashboard-reiter-mehrere-dashboards-je-b](./quick/260923-ad9-dashboard-reiter-mehrere-dashboards-je-b/) |
+| 260923-dhh | **Proxmox-Modul (PVE, PBS, PMG) — nur beobachten.** Sieben Aufgaben: Tabellen `ProxmoxServer`/`ProxmoxServerStatus` mit RLS, Zugang verschluesselt per `CryptoService`, undici-Klient mit Dispatcher nur fuer die eingetragene Adresse, Zwischenlager statt Live-Abfrage, Hintergrunddienst je Mandant (`onApplicationBootstrap`, Tender-Muster), Einstellungsseite mit Verbindungstest, Modulseite, Doku. Zugang wahlweise API-Token oder Benutzer/Passwort; **PMG nur Passwort** (Recherche A1: PMG kennt offenbar keine Token). Kopfzeilen-Formate unterscheiden sich je Produkt (`PVEAPIToken=…=…` vs. `PBSAPIToken=…:…`) und liegen an EINER Stelle. **Riegel „nur lesen“ maschinell erzwungen:** `proxmox-nur-lesen.spec.ts` zaehlt die nicht-lesenden Aufrufe gegen eine benannte Konstante — einzige Ausnahme ist die Ticket-Anmeldung. **Keine SSRF-Adresssperre** (Proxmox steht per Definition im internen Netz, eine Sperre wuerde jede echte Adresse blockieren) — Schutz ist, dass nur ein Administrator Adressen eintraegt. **Rundgang gegen einen selbst gebauten Proxmox-Nachbau** (HTTPS, selbstsigniert, echte Antwortformen): Modul im Marktplatz freigeben, Server anlegen, Zertifikatsfehler korrekt benannt, nach gesetzter Ausnahme „Verbindung erfolgreich“, Zahlen der Modulseite exakt wie im Nachbau (18/42 % Last, 3 laufend / 1 gestoppt), unerreichbarer Server meldet „Der Server ist nicht erreichbar“. **Drei Befunde daraus in 260923-ku6 behoben.** **Ein Befund der Abnahme OFFEN:** `sumOrNull` in `normalizePmg` liefert bei EINEM fehlenden Teilwert die halbe Summe statt `null` — stiller Falschwert genau dort, wo die Feldnamen am schlechtesten belegt sind. **Zahlen:** api 1240 → 1311 Tests, web 693 → 708, type-check 4/4, lint 5/5, 53 Warnungen unveraendert. | 2026-09-23 | 3a1bfd9,4f8a368,998aba9,fccaf8d,723cf68,06fcdc0,3091b04 | [260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n](./quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/) |
+| 260923-ku6 | **Drei Befunde aus dem Proxmox-Rundgang behoben.** (1) „Verbindung testen“ pruefte den GESPEICHERTEN Stand statt der Eingabe — wer den Zugang tippt und vor dem Speichern testet, bekam die Antwort zum alten Wert; jetzt eigene Route `POST servers/test` mit Merge-Regel: normale Felder folgen dem Formular (auch geleert), Geheimnisfelder folgen „leer → gespeicherten Wert behalten“, weil das Formular Geheimnisse nie vorbefuellt. (2) Ein frisch angelegter Server zeigte „Ein unerwarteter Fehler ist aufgetreten“, obwohl nur noch nichts abgefragt war — jetzt eigener ruhiger Zustand mit Verweis auf „Jetzt aktualisieren“. (3) Die Klasse `uppercase` faerbte die ganze Zeile und zeigte die Adresse als „HTTPS://…“ — jetzt nur noch das Produktkuerzel. **Zahlen:** api 1311 → 1316, web 708 → 712, 53 Warnungen gehalten (eine neu ausgeloeste `useOptionalChain`-Warnung gleich mit aufgeloest). | 2026-09-23 | 710034c,f1bb7f7 | [260923-ku6-drei-nachbesserungen-aus-dem-browser-run](./quick/260923-ku6-drei-nachbesserungen-aus-dem-browser-run/) |
+| 260923-ku6 | **Drei Nachbesserungen aus dem Browser-Rundgang zu 260923-dhh (Proxmox-Modul).** Befund 1 (wichtig): „Verbindung testen" pruefte den gespeicherten Server statt des Formulars — im Formular abgeschaltete Zertifikatspruefung oder ein neu eingetipptes Geheimnis griffen erst nach dem Speichern. Fix: neues `TestProxmoxServerDto` + Merge-Baustein `resolveEffectiveTestServer` in `ProxmoxService`, neue Route `POST servers/test` fuer die Neuanlage (noch kein gespeicherter Server), Geheimnisfelder behalten die bestehende „leer gelassen -> gespeicherten Wert weiterverwenden"-Regel. Befund 2 (wichtig): ein frisch angelegter, nie abgefragter Server zeigte faelschlich „Ein unerwarteter Fehler ist aufgetreten" statt eines ruhigen Hinweises — behoben ueber `status.lastPolledAt === null`. Befund 3 (kosmetisch): `uppercase` faerbte die ganze Statuszeile inkl. Adresse gross — jetzt nur noch das Produktkuerzel. **Zahlen:** api 1311 → 1316, web 708 → 712, type-check 4/4, lint 5/5, Biome web 53 Warnungen unveraendert. | 2026-09-23 | 710034c,f1bb7f7 | [260923-ku6-drei-nachbesserungen-aus-dem-browser-run](./quick/260923-ku6-drei-nachbesserungen-aus-dem-browser-run/) |
+| 260923-le6 | **Zwei Abnahmebefunde zum Proxmox-Modul behoben.** (1) `sumOrNull` in `normalizePmg` liefert jetzt `null`, sobald EIN Teilwert (Spam/Viren je Richtung) fehlt — vorher stille Teilsumme als vollstaendige Zahl (Blocker aus 260923-dhh-VERIFICATION, Wahrheit 7). (2) „Jetzt aktualisieren“ nur noch fuer ADMIN/SUPER_ADMIN sichtbar (Endpunkt verlangte das schon); `ServerCard` bekommt `isAdmin`, Nicht-Admins lesen bei nie abgefragtem Server „Die Werte erscheinen nach der naechsten automatischen Abfrage“ statt eines Verweises auf den Knopf. Neuer Seitentest `proxmox-page-roles.test.tsx` (5 Rollenfaelle). Offener Randfall: inaktiver, nie abgefragter Server — Text passt dort nicht ganz, Nutzerentscheidung. Proxmox-Tests api 82, web 26 gruen; Typpruefung beider Seiten fehlerfrei; Biome ohne neue Befunde. | 2026-09-23 | c13d657,2eb86e1,2f8dd14,e1b191b | [260923-le6-proxmox-abnahmebefunde-sumornull-null-be](./quick/260923-le6-proxmox-abnahmebefunde-sumornull-null-be/) |
 
 ## Deferred Items
 

.planning/quick/260923-ad9-dashboard-reiter-mehrere-dashboards-je-b/260923-ad9-PLAN.md

@@ -0,0 +1,573 @@
+---
+phase: quick-260923-ad9
+plan: 01
+type: execute
+wave: 1
+depends_on: []
+autonomous: true
+requirements: [QUICK-260923-AD9]
+
+files_modified:
+  - apps/api/prisma/schema.prisma
+  - apps/api/prisma/migrations/20260923120000_dashboard_tabs/migration.sql
+  - apps/api/src/dashboard/dashboard.service.ts
+  - apps/api/src/dashboard/dashboard.service.spec.ts
+  - apps/api/src/dashboard/dashboard.controller.ts
+  - apps/api/src/dashboard/dashboard.controller.spec.ts
+  - apps/api/src/dashboard/dto/save-layout.dto.ts
+  - apps/api/src/dashboard/dto/create-widget.dto.ts
+  - apps/api/src/dashboard/dto/rename-dashboard.dto.ts
+  - apps/api/src/dashboard/dto/reorder-dashboards.dto.ts
+  - docs/mandantentrennung-zugriffsklassifikation.md
+  - apps/web/src/lib/dashboard-api.ts
+  - apps/web/src/lib/stores/dashboard-store.ts
+  - apps/web/src/lib/stores/dashboard-store.test.ts
+  - apps/web/src/components/dashboard/dashboard-tabs.tsx
+  - apps/web/src/components/dashboard/dashboard-tabs.test.tsx
+  - apps/web/src/app/(portal)/page.tsx
+  - apps/web/src/messages/de.json
+  - apps/web/src/messages/en.json
+  - docs/anleitung-anwender.md
+  - CHANGELOG.md
+
+estimate:
+  tokens: 185000
+  raw_tokens: 185000
+  tasks: 5
+  confidence: low
+
+must_haves:
+  truths:
+    - "Ein Benutzer hat mehrere Dashboards, die oben als Reiter nebeneinander stehen. Jeder Reiter trägt seine EIGENEN Kacheln und seine EIGENE Anordnung — was auf Reiter 1 liegt, erscheint nicht auf Reiter 2."
+    - "Beim Öffnen des Dashboards wird immer der ERSTE Reiter geladen. Es gibt kein zusätzliches Stern-Kennzeichen und kein getrenntes Standard-Feld: nach vorn ziehen IST das Festlegen des Standards."
+    - "Reiter lassen sich mit der Maus an eine andere Stelle ziehen; die neue Reihenfolge bleibt nach dem Neuladen erhalten. Ein Klick ohne Ziehen wechselt nur den Reiter."
+    - "Reiter lassen sich anlegen (leer, Name „Dashboard 2“, „Dashboard 3“, … — die nächste freie Zahl), umbenennen und löschen. Der letzte verbleibende Reiter kann nicht gelöscht werden; der Server weist das ab, die Oberfläche bietet es gar nicht erst an."
+    - "Niemand verliert beim Einspielen etwas: jeder Benutzer, der heute Kacheln ODER eine gespeicherte Anordnung hat, findet danach genau EINEN Reiter namens „Dashboard“ mit genau seinen bisherigen Kacheln in genau seiner bisherigen Anordnung vor. Ein Benutzer ohne beides bekommt beim ersten Öffnen einen leeren Reiter „Dashboard“ angelegt."
+    - "Fail-closed gegen fremde Reiter: Kacheln lesen, Kachel anlegen, Anordnung lesen, Anordnung speichern, umbenennen, löschen und umsortieren antworten für einen Reiter, der dem Aufrufer nicht gehört (fremder Benutzer, fremder Mandant, unbekannte Kennung), mit derselben Nicht-gefunden-Antwort — nie mit einer Antwort, aus der sich die Existenz des fremden Reiters ablesen lässt."
+    - "Die neue Tabelle trägt Mandantenkennung und denselben Zeilenschutz wie ihre Nachbarn (Mandant UND Benutzer, Form aus 20260911120000); der Wächter-Test der RLS-Abdeckung bleibt grün, und die Zugriffsklassifikation führt das neue Paar (Datei, Modell) mit gemessenem Stand."
+    - "Am Raster selbst ändert sich nichts: FREE_PLACEMENT_COMPACTOR mit preventCollision, belegte Plätze bleiben gesperrt, nichts weicht aus; die Breitenmessung aus quick-260922-vdk bleibt unverändert."
+    - "Keine neue Abhängigkeit: das Ziehen der Reiter läuft über dieselben Pointer-Ereignisse wie die Ausschnittwahl im XFrame-Einstellungsdialog (quick-260922-ge2)."
+    - "Alle Tore grün: api gesamt ≥ 1202 Tests in ≥ 77 Dateien, web gesamt ≥ 661 Tests in ≥ 83 Dateien, `pnpm type-check` 4/4, `pnpm lint` 5/5 mit weiterhin GENAU 53 Warnungen in web, `prisma migrate diff` gegen die lokale Datenbank meldet weiterhin keinen Unterschied."
+  artifacts:
+    - "apps/api/prisma/schema.prisma — neues Modell `Dashboard` (id, userId, tenantId, name, position, createdAt, updatedAt; Index auf userId und tenantId, KEIN Unique auf (userId, position)); `WidgetInstance.dashboardId` und `DashboardLayout.dashboardId @unique` mit Relation und `onDelete: Cascade`; `DashboardLayout.userId` verliert `@unique`, behält einen gewöhnlichen Index"
+    - "apps/api/prisma/migrations/20260923120000_dashboard_tabs/migration.sql — hand geschriebene Migration mit deutschem Kopf: Tabelle, Indizes, Zeilenschutz (ENABLE + FORCE + tenant_isolation_policy mit Benutzerdimension), Bestandsübernahme für jeden Benutzer mit Kacheln oder Anordnung, Nachtragen der Fremdschlüssel erst NACH der Übernahme"
+    - "apps/api/src/dashboard/dashboard.service.ts — `listDashboards` (legt bei null vorhandenen genau einen an, gegen Doppelanlage per Transaktions-Sperre gesichert), `createDashboard`, `renameDashboard`, `deleteDashboard`, `reorderDashboards`, privater Riegel `assertOwnedDashboard`; `getLayout`/`saveLayout`/`getWidgets`/`addWidget` arbeiten je Reiter"
+    - "apps/api/src/dashboard/dashboard.controller.ts — fünf neue Routen unter `tabs`, `tabs/order` VOR den Routen mit Platzhalter deklariert; `dashboardId` als Abfrageparameter bei den beiden Lesewegen, im Rumpf bei den beiden Schreibwegen"
+    - "apps/api/src/dashboard/dto/ — `rename-dashboard.dto.ts`, `reorder-dashboards.dto.ts` (Obergrenzen als Riegel gegen Massenanfragen), erweiterte `save-layout.dto.ts` und `create-widget.dto.ts`"
+    - "apps/api/src/dashboard/dashboard.controller.spec.ts — NEU: Durchreichen der Reiter-Kennung, Fehlerformen, und ein quelltextlesender Wächter, dass `tabs/order` VOR den Platzhalter-Routen steht (NestJS-Routenreihenfolge)"
+    - "apps/web/src/components/dashboard/dashboard-tabs.tsx — NEU: Reiterleiste mit Wechseln, Anlegen, Umbenennen, Löschen und Ziehen zum Umsortieren über Pointer-Ereignisse (Muster xframe-config-form.tsx, inklusive der jsdom-Schutzhülle um setPointerCapture)"
+    - "apps/web/src/lib/stores/dashboard-store.ts — `dashboards`, `activeDashboardId`, `selectDashboard`, `createDashboard`, `renameDashboard`, `deleteDashboard`, `reorderDashboards`; Schutz gegen doppeltes Laden; ungespeicherte Anordnung wird VOR dem Reiterwechsel auf den ALTEN Reiter geschrieben"
+    - "apps/web/src/messages/de.json + en.json — neue Zeichenketten unter `widgets.tabs.*`, deutsch in der Sie-Form mit echten Umlauten (der Umlaut-Wächter liest de.json)"
+    - "docs/mandantentrennung-zugriffsklassifikation.md — neue Zeile für das Paar (`dashboard.service.ts`, `dashboard`), nachgerechnete Bereichs- und Summenzeile, nachgezogene Paarzahl"
+    - "docs/anleitung-anwender.md + CHANGELOG.md — Beschreibung der Reiter in Alltagssprache"
+  key_links:
+    - "Öffnen → `loadDashboard()` → `GET /dashboard/tabs` (legt bei Bedarf den ersten an) → erster Reiter der nach `position` aufsteigend sortierten Liste wird aktiv → `GET /dashboard/widgets?dashboardId=…` + `GET /dashboard/layout?dashboardId=…` → `DashboardGrid` bekommt genau die Kacheln dieses Reiters"
+    - "Reiter ziehen → Pointer-Ereignisse in `dashboard-tabs.tsx` → beim Loslassen die vollständige Kennungsliste in neuer Reihenfolge → `PUT /dashboard/tabs/order` → `withTenantTransaction` schreibt alle `position`-Werte des Benutzers in EINER Transaktion neu (0…n-1) → nächstes Öffnen lädt den nun ersten Reiter"
+    - "Reiter löschen → `DELETE /dashboard/tabs/:id` → Riegel `assertOwnedDashboard` → Abweisung, wenn es der letzte Reiter ist → sonst in EINER Transaktion: Kacheln des Reiters, Anordnung des Reiters, Reiter selbst, danach Positionen der verbleibenden Reiter lückenlos neu geschrieben"
+    - "Kachel hinzufügen → Store reicht `activeDashboardId` durch → `POST /dashboard/widgets` mit Reiter-Kennung → Riegel prüft Besitz → Kachel hängt am richtigen Reiter"
+    - "Neues Modell `Dashboard` mit `tenantId` → `rls-coverage.spec.ts` Test 1/2 verlangen ENABLE + Policy in einer Migration → Migration liefert beides → Wächter bleibt grün"
+    - "`tenantPrisma.dashboard` / `tx.dashboard` in `dashboard.service.ts` → `rls-access-inventory.spec.ts` findet ein neues Paar (Datei, Modell) → Eintrag in `docs/mandantentrennung-zugriffsklassifikation.md` mit Stand `gebunden` → Wächter bleibt grün"
+---
+
+# Quick-Aufgabe 260923-ad9: Dashboard-Reiter — mehrere Dashboards je Benutzer
+
+<objective>
+Das Dashboard trägt heute genau eine Kachelfläche je Benutzer. Diese Aufgabe gibt jedem Benutzer mehrere
+Dashboards, die oben als Reiter nebeneinander stehen: jeder Reiter mit eigenen Kacheln und eigener
+Anordnung, per Ziehen umsortierbar, der erste ist der Standard und wird beim Öffnen geladen.
+
+Purpose: Der Wunsch des Nutzers vom 22./23.09.2026, mit allen Entscheidungen bereits getroffen (siehe
+„Gebundene Entscheidungen“). Der Plan setzt um und sichert ab — es ist nichts mehr zu erforschen und
+nichts mehr rückzufragen.
+Output: Neues Datenmodell mit Bestandsübernahme, fünf neue Endpunkte mit Besitz-Riegel, Reiterleiste in
+der Oberfläche, Ziehen zum Umsortieren ohne neue Abhängigkeit, nachgezogene Zeilenschutz-Dokumentation,
+Anwenderhandbuch und Changelog. Alle Tore grün, Prüfliste für den Browser-Rundgang im SUMMARY.
+</objective>
+
+## Gebundene Entscheidungen (nicht neu verhandeln)
+
+- **D-01 — Datenmodell:** neues Modell `Dashboard` (id, userId, tenantId, name, position, createdAt,
+  updatedAt), Reihenfolge über `position` (Integer), aufsteigend sortiert. **KEIN** Unique auf
+  (userId, position) — beim Umsortieren werden alle Positionen des Benutzers in EINER Transaktion neu
+  geschrieben, ein Unique wäre dabei nur im Weg. Index auf `userId` und auf `tenantId` wie bei den
+  Nachbarmodellen.
+- **D-02 — Anhängen:** `WidgetInstance` bekommt `dashboardId`. `DashboardLayout` hängt künftig am
+  Dashboard statt am Benutzer (das heutige `userId @unique` fällt, `dashboardId @unique` kommt);
+  `userId`/`tenantId` bleiben auf beiden Modellen für Besitz- und Mandantenprüfung erhalten.
+- **D-03 — Bestandsübernahme:** für jeden Benutzer, der heute Kacheln ODER eine Anordnung hat, entsteht
+  genau EIN Dashboard mit `position = 0` und dem Namen „Dashboard“; vorhandene Kacheln und die vorhandene
+  Anordnung werden darauf umgehängt. Datenbankänderung heißt: geht über `main` als reguläre Version,
+  nicht als Hotfix.
+- **D-04 — Zeilenschutz ist Pflicht:** das neue Modell braucht `tenantId` und denselben Zeilenschutz wie
+  die Nachbartabellen. Die Wächter in `apps/api/src/prisma/rls-coverage.spec.ts` und
+  `apps/api/src/prisma/rls-access-inventory.spec.ts` müssen grün bleiben.
+- **D-05 — keine neue Abhängigkeit** für das Ziehen der Reiter. Dem vorhandenen Pointer-Ereignis-Muster
+  aus `apps/web/src/components/settings/xframe-config-form.tsx` (quick-260922-ge2) folgen.
+- **D-06 — am Raster ändert sich nichts:** `FREE_PLACEMENT_COMPACTOR` mit `preventCollision` bleibt,
+  belegte Plätze bleiben gesperrt, nichts weicht aus (Nutzeransage 22.09.). Die Breitenmessung aus
+  quick-260922-vdk bleibt unverändert.
+- **D-07 — Oberflächentexte** auf Deutsch in der Sie-Form über next-intl, keine rohen Zeichenketten;
+  Kommentare im Code auf Deutsch wie in den Nachbardateien.
+- **D-08 — neuer Reiter** startet leer und heißt „Dashboard 2“, „Dashboard 3“, … (nächste freie Zahl).
+- **D-09 — „Als Favorit festlegen“ = nach vorn ziehen.** Kein Stern-Kennzeichen, kein getrenntes
+  Standard-Feld, kein Merken des zuletzt benutzten Reiters: beim Öffnen wird immer der erste geladen.
+- **D-10 — der letzte verbleibende Reiter kann nicht gelöscht werden.**
+
+**Nicht im Umfang:** Freigeben/Teilen von Dashboards an andere Benutzer, Vorlagen, Reiter je Modul.
+
+## Gemessener Ausgangsstand (nicht erneut zu erheben)
+
+Gemessen am 23.09.2026 vor Beginn, auf diesem Rechner:
+
+| Tor | Stand |
+|---|---|
+| `pnpm --filter @tessera/api test` | 1202 Tests in 76 Dateien, grün |
+| davon `dashboard.service.spec.ts` | 31 Tests |
+| davon `rls-coverage.spec.ts` / `rls-access-inventory.spec.ts` | 5 / 30 Tests |
+| `pnpm --filter @tessera/web test` | 661 Tests in 81 Dateien, grün |
+| davon `dashboard-store.test.ts` / `dashboard-grid.test.tsx` | 6 / 12 Tests |
+| `pnpm type-check` | 4 von 4 erfolgreich |
+| `pnpm lint` | 5 von 5 erfolgreich, **genau 53 Warnungen** in web |
+| `as unknown as` in `apps/web/src` ohne Testdateien | 3 |
+| Prisma-Abweichung lokal | „No difference detected.“ |
+| Lokale Datenbank | 6 Kacheln bei 2 Benutzern, 1 gespeicherte Anordnung, 3 Benutzer — die Vereinigung „hat Kacheln oder Anordnung“ ergibt **2** Benutzer |
+
+Die lokale Datenbank ist vom Host aus über die Container-IP erreichbar (`docker inspect` auf
+`tessera-ctl-db-1`, Zugangsdaten `tessera` / `tessera_dev`, Datenbank `tessera`) — sie hat bewusst keinen
+Host-Port. Gemessen: `tessera` ist in diesem Abbild ein Superuser und umgeht den Zeilenschutz, eine
+Migration sieht also alle Bestandszeilen.
+
+## Festgelegte technische Form (vom Planer entschieden, nicht rückzufragen)
+
+**Endpunkte** (alle unter dem vorhandenen Präfix `dashboard`, alle mit dem vorhandenen
+`extractContext`-Muster für Benutzer und Mandant):
+
+| Weg | Zweck |
+|---|---|
+| `GET /dashboard/tabs` | Reiter des Benutzers, nach `position` aufsteigend; legt genau einen an, wenn keiner existiert |
+| `POST /dashboard/tabs` | neuen, leeren Reiter am Ende anlegen (Name automatisch, D-08) |
+| `PUT /dashboard/tabs/order` | vollständige Kennungsliste in Wunschreihenfolge |
+| `PATCH /dashboard/tabs/:id` | umbenennen |
+| `DELETE /dashboard/tabs/:id` | Reiter mit seinen Kacheln und seiner Anordnung löschen |
+| `GET /dashboard/layout?dashboardId=…` | Anordnung eines Reiters |
+| `PUT /dashboard/layout` | Rumpf trägt `dashboardId` und `layouts` |
+| `GET /dashboard/widgets?dashboardId=…` | Kacheln eines Reiters |
+| `POST /dashboard/widgets` | Rumpf trägt `widgetType` und `dashboardId` |
+
+`PATCH /dashboard/widgets/:id/config`, `DELETE /dashboard/widgets/:id` und die drei Suchanbieter-Wege
+bleiben **unverändert** — eine Kachelkennung ist für sich eindeutig.
+
+**Riegel `assertOwnedDashboard(dashboardId, userId, tenantId)`:** liest den Reiter über den gebundenen
+Klienten und wirft für „gibt es nicht“, „gehört einem Kollegen“ und „liegt bei einem fremden Mandanten“
+dieselbe `NotFoundException` — niemals eine abweichende Antwort, aus der sich die Existenz ablesen
+ließe. Dasselbe Vorgehen wie der Widget-Riegel in `favorites.service.ts` (T-GWH-05).
+
+**Obergrenzen als Riegel gegen Massenanfragen:** höchstens 20 Reiter je Benutzer; Reitername nach dem
+Beschneiden 1 bis 40 Zeichen; die Kennungsliste beim Umsortieren höchstens 20 Einträge, ohne Dubletten.
+
+**Umsortieren** folgt wörtlich dem Muster `FavoritesService.reorder` (260917-jdd): eine
+`withTenantTransaction`, darin erst die vorhandenen Kennungen lesen, auf exakte Übereinstimmung mit der
+gesendeten Liste prüfen (sonst Abweisung, kein Teilschreiben), dann je Eintrag ein `updateMany` mit
+`id` UND `userId` in der Bedingung und einer Prüfung auf genau eine getroffene Zeile. `withTenantTransaction`
+setzt keine Benutzerdimension in der Sitzung — deshalb trägt jede Bedingung innerhalb der Transaktion
+`userId` selbst, als zweites Netz.
+
+## Tasks
+
+<tasks>
+
+<task type="tracer">
+  <name>Task 1: Datenmodell, Migration und Reiter-Grundlage — das heutige Dashboard wird zu Reiter 1</name>
+  <files>apps/api/prisma/schema.prisma, apps/api/prisma/migrations/20260923120000_dashboard_tabs/migration.sql, apps/api/src/dashboard/dashboard.service.ts, apps/api/src/dashboard/dashboard.service.spec.ts, apps/api/src/dashboard/dashboard.controller.ts, apps/api/src/dashboard/dto/save-layout.dto.ts, apps/api/src/dashboard/dto/create-widget.dto.ts, docs/mandantentrennung-zugriffsklassifikation.md</files>
+  <read_first>apps/api/prisma/schema.prisma (Modelle DashboardLayout, WidgetInstance, DashboardImage), apps/api/prisma/migrations/20260921120000_dashboard_image/migration.sql (Vorlage für Kopf, Indizes und Zeilenschutz einer persönlichen Tabelle), apps/api/src/prisma/prisma-tenant.extension.ts (forTenant, withTenantTransaction), apps/api/src/dashboard/dashboard.service.ts, apps/api/src/dashboard/dashboard.service.spec.ts (Zwei-Klienten-Nachbau), apps/api/src/favorites/favorites.service.spec.ts Zeile 24-29 und 166-175 (Mock-Form für withTenantTransaction), apps/api/src/prisma/rls-coverage.spec.ts, docs/mandantentrennung-zugriffsklassifikation.md Zeile 160-180, 224-236 und 676-680</read_first>
+  <action>
+Schema (D-01/D-02): neues Modell `Dashboard` mit `id` (uuid-Vorgabe), `userId`, `tenantId`, `name`,
+`position` als Integer, `createdAt`, `updatedAt`, Index auf `userId` und auf `tenantId`, KEIN Unique auf
+der Positionsspalte. Keine Relation zu `User` oder `Tenant` — das ist die Form der Nachbarmodelle
+`WidgetInstance` und `DashboardImage`, und eine Relation zu `User` würde an Bestandszeilen verwaister
+Benutzer scheitern. `WidgetInstance` bekommt `dashboardId` als Pflichtfeld mit Relation auf `Dashboard`
+und Löschweitergabe, dazu einen Index darauf; `DashboardLayout` bekommt `dashboardId` als Pflichtfeld mit
+Relation, Löschweitergabe und Eindeutigkeit, verliert die Eindeutigkeit auf `userId` und behält dort einen
+gewöhnlichen Index. Auf `Dashboard` die beiden Gegenseiten der Relationen eintragen. Der deutsche
+Kommentar über dem neuen Modell nennt D-01 (warum kein Unique auf der Position) und D-09 (warum es kein
+Standard-Feld gibt).
+
+Migration `20260923120000_dashboard_tabs/migration.sql` von Hand schreiben, in dieser Reihenfolge — die
+Bestandsübernahme MUSS vor den Fremdschlüsseln stehen, sonst scheitert sie an genau diesen:
+1. Deutscher Kopfkommentar nach der Form von `20260921120000_dashboard_image`: Zweck, D-01 (keine
+   Eindeutigkeit auf der Position, weil das Umsortieren alle Positionen eines Benutzers in einer
+   Transaktion neu schreibt), D-03 (niemand verliert etwas), D-04 (Zeilenschutz mit Benutzerdimension,
+   Form aus `20260911120000`), und der Hinweis, dass die Rechte für `tessera_app` über die
+   Vorgaberechte aus `20260909130000` kommen.
+2. Tabelle `Dashboard` anlegen, Indizes auf `userId` und `tenantId`.
+3. Zeilenschutz einschalten, erzwingen und die Regel `tenant_isolation_policy` anlegen: Mandant gleich
+   `current_tenant_id()` UND (`current_user_id()` ist NULL ODER Benutzer gleich `current_user_id()`) —
+   wörtlich die Form aus `20260921120000_dashboard_image`.
+4. Bestandsübernahme: je Benutzer aus der Vereinigung der Benutzer mit Kacheln und der Benutzer mit
+   gespeicherter Anordnung genau eine Zeile einfügen, mit `gen_random_uuid()` als Textkennung, dem Namen
+   „Dashboard“, Position 0 und der Mandantenkennung aus der Bestandszeile. Gegen den theoretischen Fall
+   „derselbe Benutzer mit zwei Mandantenkennungen“ mit einer Auswahl absichern, die je Benutzer genau
+   eine Zeile liefert.
+5. `dashboardId` auf `WidgetInstance` zunächst als NULLbare Spalte ergänzen, aus der neuen Tabelle über
+   die Benutzerkennung befüllen, dann auf NOT NULL setzen, Index anlegen, Fremdschlüssel mit
+   Löschweitergabe ergänzen.
+6. Dasselbe für `DashboardLayout`; zusätzlich die Eindeutigkeit auf `userId` entfernen, dort einen
+   gewöhnlichen Index anlegen und die Eindeutigkeit auf `dashboardId` anlegen.
+
+Dienst `dashboard.service.ts`:
+- `listDashboards(userId, tenantId)` liest die Reiter des Benutzers über `forTenant(...)` nach `position`
+  aufsteigend. Ist die Liste leer, wird genau ein Reiter „Dashboard“ mit Position 0 angelegt und die
+  Liste erneut gelesen. Das Anlegen läuft in einer `withTenantTransaction`, die als erste Anweisung eine
+  Transaktionssperre auf die Benutzerkennung nimmt (`pg_advisory_xact_lock` mit `hashtext` über die
+  Benutzerkennung und einer zweiten Ganzzahl; beides sind eingebaute Postgres-Funktionen) und danach
+  innerhalb der Sperre erneut zählt — zwei gleichzeitige erste Aufrufe desselben Benutzers dürfen nicht
+  zwei Reiter erzeugen. Der deutsche Kommentar erklärt genau diesen Grund.
+- Privater Riegel `assertOwnedDashboard(dashboardId, userId, tenantId)` wie unter „Festgelegte technische
+  Form“ beschrieben, mit deutschem Kommentar, der die drei ununterscheidbaren Fälle benennt.
+- `getLayout`, `saveLayout`, `getWidgets`, `addWidget` nehmen die Reiter-Kennung entgegen, rufen zuerst
+  den Riegel und arbeiten danach über `dashboardId` statt über `userId`. Die vorhandenen Besitzprüfungen
+  über die Benutzerkennung bleiben zusätzlich bestehen — zweites Netz, kein Ersatz, genau wie im
+  Kopfkommentar der Datei beschrieben. `saveLayout` behält die Übersetzung der
+  `PrismaClientUnknownRequestError` in die deutsche Konfliktmeldung, jetzt auf der Eindeutigkeit der
+  Reiter-Kennung.
+- `getWidgets` behält den Modulfilter (D-22, PERM-07) und die bewusst ungebundene Katalogabfrage
+  unverändert — nur die Bedingung der ersten Abfrage wechselt von Benutzer auf Reiter.
+
+Controller: die vier betroffenen Wege reichen die Reiter-Kennung durch (bei den Lesewegen als
+Abfrageparameter, bei den Schreibwegen aus dem Rumpf), und `GET /dashboard/tabs` kommt hinzu. Die
+beiden DTOs bekommen ein Pflichtfeld für die Reiter-Kennung mit Zeichenkettenprüfung. Weitere Reiter-Wege
+folgen in Task 2 — dieser Task hält den Baum übersetzbar und das Verhalten für den Benutzer
+unverändert (ein Reiter, wie bisher).
+
+Tests in `dashboard.service.spec.ts`: die bestehenden 31 bleiben unverändert bestehen; der Mock von
+`prisma-tenant.extension` bekommt `withTenantTransaction` nach der Form aus `favorites.service.spec.ts`
+(protokollierender Durchreicher auf den gebundenen Klienten, der Transaktionsklient braucht zusätzlich
+eine Attrappe für das rohe Ausführen der Sperranweisung), der gebundene Nachbau bekommt das neue Modell.
+Neu mindestens: erster Aufruf ohne vorhandenen Reiter legt genau einen an und liefert ihn; zweiter Aufruf
+legt keinen weiteren an; die Liste kommt nach Position aufsteigend; Kacheln und Anordnung werden über die
+Reiter-Kennung gelesen und geschrieben; fremde Reiter-Kennung führt bei allen vier Wegen zur
+Nicht-gefunden-Antwort; jeder dieser Wege lief über den gebundenen Klienten mit der richtigen
+Mandantenkennung.
+
+Dokument `docs/mandantentrennung-zugriffsklassifikation.md`: neue Zeile in der Fundstellentabelle für das
+Paar (`apps/api/src/dashboard/dashboard.service.ts`, `dashboard`) mit Klasse `muss-mandantengebunden` und
+Stand `gebunden`, Begründung in der Form der Nachbarzeilen (persönliche Tabelle mit Mandanten- und
+Benutzerdimension, Regel von Anfang an mit Benutzerdimension, Besitzprüfung zusätzlich in der Anwendung).
+Bereichszeile `dashboard` und Summenzeile mit der Zählschleife aus dem Gate NACHRECHNEN, nicht
+abschreiben; die Paarzahl in der Überschrift der Klassen-Verteilung und den Fließtext, der von den vier
+Paaren des Bereichs spricht, nachziehen.
+  </action>
+  <verify>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm --filter @tessera/api exec prisma generate && DB_IP=$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' tessera-ctl-db-1) && DATABASE_URL="postgresql://tessera:tessera_dev@${DB_IP}:5432/tessera" pnpm --filter @tessera/api exec prisma migrate deploy && DATABASE_URL="postgresql://tessera:tessera_dev@${DB_IP}:5432/tessera" pnpm --filter @tessera/api exec prisma migrate diff --from-url "postgresql://tessera:tessera_dev@${DB_IP}:5432/tessera" --to-schema-datamodel prisma/schema.prisma --exit-code</automated>
+    <automated>docker exec tessera-ctl-db-1 psql -U tessera -d tessera -t -c 'SELECT (SELECT count(*) FROM "WidgetInstance" WHERE "dashboardId" IS NULL) AS kacheln_ohne_reiter, (SELECT count(*) FROM "DashboardLayout" WHERE "dashboardId" IS NULL) AS anordnungen_ohne_reiter, (SELECT count(*) FROM "Dashboard") AS reiter, (SELECT count(*) FROM "Dashboard" WHERE "position" <> 0) AS reiter_nicht_an_position_null;'</automated>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm --filter @tessera/api test 2>&1 | tail -20</automated>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm type-check</automated>
+  </verify>
+  <done>
+Die Migration läuft gegen die lokale Datenbank durch und `prisma migrate diff` meldet danach weiterhin
+keinen Unterschied (Rückgabewert 0). Die Zählabfrage liefert 0 Kacheln ohne Reiter, 0 Anordnungen ohne
+Reiter, genau 2 Reiter (die gemessene Zahl der Benutzer mit Bestand auf diesem Rechner) und 0 Reiter
+abseits von Position 0. `pnpm --filter @tessera/api test` ist grün mit ≥ 1202 Tests in 76 Dateien, davon
+≥ 39 in `dashboard.service.spec.ts`; `rls-coverage.spec.ts` (5) und `rls-access-inventory.spec.ts` (30)
+sind unverändert grün — letzteres beweist, dass das neue Paar im Dokument steht. `pnpm type-check` ist
+4 von 4.
+  </done>
+  <reversibility rating="costly">Die Bestandsübernahme hängt vorhandene Kacheln und Anordnungen auf neue Zeilen um und entfernt die Eindeutigkeit auf `DashboardLayout.userId` — zurück geht das nur über eine weitere Migration, die Daten selbst bleiben dabei erhalten. KEIN Entscheidungs-Halt davor: die Form der Migration ist als D-03 bereits gebunden und wird hier nicht erneut zur Abstimmung gestellt.</reversibility>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Task 2: Reiter anlegen, umbenennen, löschen und umsortieren — Dienst, DTOs, Endpunkte</name>
+  <files>apps/api/src/dashboard/dashboard.service.ts, apps/api/src/dashboard/dashboard.service.spec.ts, apps/api/src/dashboard/dashboard.controller.ts, apps/api/src/dashboard/dashboard.controller.spec.ts, apps/api/src/dashboard/dto/rename-dashboard.dto.ts, apps/api/src/dashboard/dto/reorder-dashboards.dto.ts</files>
+  <read_first>apps/api/src/favorites/favorites.service.ts (Methode `reorder` — Vorlage für Transaktion, Exakt-Abgleich und die Bedingung je Aktualisierung), apps/api/src/favorites/dto/reorder-favorites.dto.ts (Vorlage für Obergrenzen), apps/api/src/dashboard/dashboard-images.controller.spec.ts (Form einer Controller-Testdatei in diesem Bereich), apps/api/src/dashboard/dashboard.controller.ts</read_first>
+  <behavior>
+    - Anlegen ohne Namensvorgabe erzeugt „Dashboard 2“, wenn nur „Dashboard“ existiert; „Dashboard 3“, wenn „Dashboard“ und „Dashboard 2“ existieren; und füllt eine Lücke, wenn „Dashboard“ und „Dashboard 3“ existieren (dann „Dashboard 2“).
+    - Anlegen hängt den neuen Reiter ans Ende (höchste vorhandene Position plus eins) und liefert ihn mit leerer Kachelliste.
+    - Anlegen über der Obergrenze von 20 Reitern wird abgewiesen, ohne eine Zeile zu schreiben.
+    - Umbenennen beschneidet Leerraum; ein leerer Name und ein Name über 40 Zeichen werden abgewiesen.
+    - Umbenennen eines fremden Reiters liefert die Nicht-gefunden-Antwort.
+    - Löschen entfernt Reiter, seine Kacheln und seine Anordnung in EINER Transaktion und schreibt die Positionen der verbleibenden Reiter lückenlos von 0 an neu.
+    - Löschen des letzten verbleibenden Reiters wird abgewiesen und schreibt nichts.
+    - Löschen eines fremden Reiters liefert die Nicht-gefunden-Antwort.
+    - Umsortieren mit der vollständigen, dublettenfreien Kennungsliste schreibt die Positionen 0…n-1 in der gesendeten Reihenfolge.
+    - Umsortieren mit einer unvollständigen Liste, mit einer unbekannten Kennung oder mit der Kennung eines fremden Reiters wird abgewiesen, ohne eine einzige Position zu ändern.
+  </behavior>
+  <action>
+Zuerst die Testfälle aus dem Verhaltensblock in `dashboard.service.spec.ts` schreiben (rot), dann den
+Dienst ergänzen.
+
+Dienst: `createDashboard`, `renameDashboard`, `deleteDashboard`, `reorderDashboards`. Anlegen und
+Umbenennen laufen als Einzeloperationen über `forTenant(...)`; Löschen und Umsortieren laufen je als EINE
+`withTenantTransaction`, weil sie mehrere Schritte atomar brauchen — dieselbe Begründung, die der
+Kopfkommentar von `prisma-tenant.extension.ts` für `favorites.service.ts` festhält. Innerhalb der
+Transaktion trägt jede Bedingung die Benutzerkennung selbst, weil diese Form keine Benutzerdimension in
+der Sitzung setzt.
+
+Namensvergabe (D-08): die vorhandenen Namen des Benutzers lesen und die kleinste Zahl ab 2 wählen, für
+die der zusammengesetzte Name noch frei ist. Der deutsche Kommentar hält fest, dass dieser Name ein
+gespeicherter Datenwert ist und keine Oberflächenbeschriftung — deshalb steht er hier und nicht in den
+Übersetzungsdateien, genau wie der Name, den die Migration vergibt.
+
+Löschen: Riegel zuerst, dann die Zahl der Reiter des Benutzers prüfen (bei eins abweisen mit einer
+deutschen Konfliktmeldung in der Sie-Form), dann in der Transaktion die Kacheln des Reiters, die
+Anordnung des Reiters und den Reiter selbst entfernen und zuletzt die Positionen der verbleibenden Reiter
+lückenlos neu schreiben. Die Löschweitergabe in der Datenbank bleibt als zweites Netz bestehen; der
+geschriebene Weg ist der gebundene.
+
+Umsortieren: wörtlich nach dem Muster `FavoritesService.reorder`.
+
+DTOs: `rename-dashboard.dto.ts` mit Beschneiden und Längenprüfung 1 bis 40; `reorder-dashboards.dto.ts`
+mit Feldprüfung auf ein dublettenfreies Feld von 1 bis 20 Kennungen. Beide mit deutschem Kommentar, der
+die Obergrenze als Riegel gegen Massenanfragen benennt.
+
+Controller: die fünf Reiter-Wege ergänzen. Die Route mit dem festen Bestandteil für das Umsortieren MUSS
+vor den Routen mit Platzhalter stehen — in dieser Anwendung hat eine Route mit Platzhalter schon einmal
+eine dahinter stehende feste Route verdeckt, und Einzeltests am Dienst fangen das nicht.
+
+`dashboard.controller.spec.ts` neu anlegen (Form aus `dashboard-images.controller.spec.ts`): die
+Reiter-Kennung wird aus Abfrageparameter bzw. Rumpf an den Dienst durchgereicht; fehlender Benutzer- oder
+Mandantenkontext führt zur vorhandenen Abweisung; und ein quelltextlesender Wächter prüft, dass die
+Stelle des festen Wegs für das Umsortieren im Dateitext VOR der ersten Stelle mit Platzhalter unter
+demselben Präfix liegt — mit einer Fehlermeldung, die den Grund nennt.
+  </action>
+  <verify>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm --filter @tessera/api test 2>&1 | tail -20</automated>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm type-check && pnpm lint</automated>
+  </verify>
+  <done>
+`pnpm --filter @tessera/api test` grün mit ≥ 1202 Tests in ≥ 77 Dateien; `dashboard.service.spec.ts`
+trägt ≥ 45 Tests (die 31 alten unverändert), `dashboard.controller.spec.ts` ≥ 6. Jeder Punkt des
+Verhaltensblocks hat einen eigenen Testfall, insbesondere je einer für „fremder Reiter“ bei Umbenennen,
+Löschen und Umsortieren und einer für „letzter Reiter bleibt“. `pnpm type-check` 4/4, `pnpm lint` 5/5 mit
+unverändert 53 Warnungen in web.
+  </done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Task 3: Reiterleiste in der Oberfläche — wechseln, anlegen, umbenennen, löschen</name>
+  <files>apps/web/src/lib/dashboard-api.ts, apps/web/src/lib/stores/dashboard-store.ts, apps/web/src/lib/stores/dashboard-store.test.ts, apps/web/src/components/dashboard/dashboard-tabs.tsx, apps/web/src/components/dashboard/dashboard-tabs.test.tsx, apps/web/src/app/(portal)/page.tsx, apps/web/src/messages/de.json, apps/web/src/messages/en.json</files>
+  <read_first>apps/web/src/lib/stores/dashboard-store.ts, apps/web/src/lib/stores/dashboard-store.test.ts, apps/web/src/lib/dashboard-api.ts, apps/web/src/app/(portal)/page.tsx, apps/web/src/components/dashboard/widget-catalog-modal.tsx (Form eines deutschen Bedienbausteins mit next-intl), apps/web/src/messages/de.json Abschnitt `widgets`</read_first>
+  <behavior>
+    - Beim Laden holt der Store zuerst die Reiter, macht den ERSTEN aktiv und lädt erst danach dessen Kacheln und Anordnung.
+    - Zweimaliges Aufrufen des Ladens hintereinander löst nur EINEN Abruf der Reiterliste aus (Schutz gegen doppeltes Einhängen).
+    - Ein Reiterwechsel mit ungespeicherter Anordnung schreibt die Anordnung zuerst für den ALTEN Reiter und wechselt erst danach — die gespeicherte Kennung ist die des alten Reiters, nicht die des neuen.
+    - Nach einem Reiterwechsel stehen im Zustand ausschließlich die Kacheln und die Anordnung des neuen Reiters.
+    - Eine hinzugefügte Kachel wird mit der Kennung des aktiven Reiters angelegt.
+    - Anlegen eines Reiters hängt ihn hinten an und macht ihn aktiv; die Kachelfläche ist leer.
+    - Löschen des aktiven Reiters macht den dann ersten Reiter aktiv und lädt dessen Inhalt.
+    - Die Reiterleiste zeigt Umbenennen und Löschen nur im Bearbeitungsmodus; beim letzten verbleibenden Reiter wird Löschen gar nicht erst angeboten.
+  </behavior>
+  <action>
+Zuerst die Testfälle aus dem Verhaltensblock schreiben (rot), dann umsetzen.
+
+`dashboard-api.ts`: Abrufe für die fünf Reiter-Wege ergänzen und die vier bestehenden Aufrufe um die
+Reiter-Kennung erweitern (Leseweg als Abfrageparameter, Schreibweg im Rumpf), in derselben Form wie die
+vorhandenen Funktionen (gleiche Basisadresse, `credentials`, Fehlerwurf bei nicht erfolgreicher Antwort).
+
+`dashboard-store.ts`: Zustand um die Reiterliste, die aktive Reiter-Kennung und ein Kennzeichen für den
+laufenden Reiterwechsel erweitern. `loadDashboard` holt die Reiter, setzt den ersten als aktiv und lädt
+dessen Inhalt; ein auf Modulebene gehaltenes Versprechen verhindert, dass ein zweites Einhängen einen
+zweiten Abruf auslöst. `selectDashboard` schreibt bei ungespeicherter Anordnung zuerst für den alten
+Reiter (Kennung zum Aufrufzeitpunkt festhalten, nicht nach dem Wechsel lesen) und lädt danach Kacheln und
+Anordnung des neuen Reiters. `createDashboard`, `renameDashboard`, `deleteDashboard` pflegen die
+Reiterliste und den aktiven Reiter. Die einmalige Umrechnung alter Rastereinheiten
+(`migrateGridLayouts`/`withGridVersion`, quick-260916-bwo) bleibt unverändert und gilt weiterhin je
+Reiter — der Marker muss auch beim Speichern nach einem Reiterwechsel mitgeschrieben werden.
+
+`dashboard-tabs.tsx` neu: waagerechte Leiste über dem Raster, jeder Reiter ein Bedienelement mit seinem
+Namen, der aktive sichtbar hervorgehoben, Beschriftungen und Hinweise ausschließlich über next-intl.
+Klick wechselt. Im Bearbeitungsmodus zusätzlich: ein Knopf zum Anlegen am Ende der Leiste, je Reiter ein
+Knopf zum Löschen (beim letzten verbleibenden nicht vorhanden) und auf dem aktiven Reiter ein Knopf zum
+Umbenennen, der den Namen an Ort und Stelle in ein Eingabefeld verwandelt (Eingabetaste übernimmt,
+Escape verwirft). Vor dem Löschen eine kurze Rückfrage mit dem Namen des Reiters. Die Bedienelemente
+tragen barrierefreie Beschriftungen in derselben Form wie die vorhandenen Dashboard-Bausteine.
+
+`(portal)/page.tsx`: die Leiste über dem Raster einhängen und während eines Reiterwechsels statt des
+Rasters eine kurze Ladezeile zeigen — die Leiste selbst bleibt dabei stehen. Die bestehende
+ganzseitige Ladeschranke für den allerersten Abruf bleibt unverändert, ebenso die Aktionsleiste unten
+rechts und der Kachelkatalog. An `DashboardGrid` wird NICHTS geändert (D-06).
+
+Übersetzungen: neue Schlüssel unter `widgets.tabs.*` in `de.json` UND `en.json` anlegen. Deutsch in der
+Sie-Form mit echten Umlauten — der Wächter in `apps/web/src/messages/umlaut-guard.spec.ts` liest `de.json`
+und schlägt bei Ersatzschreibweisen fehl.
+
+Die Tests für die Leiste laufen unter jsdom; der Store wird darin nach dem Muster der vorhandenen
+Dashboard-Tests über gemockte Abrufe bedient.
+  </action>
+  <verify>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm --filter @tessera/web test 2>&1 | tail -12</automated>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm type-check && pnpm lint</automated>
+  </verify>
+  <done>
+`pnpm --filter @tessera/web test` grün mit ≥ 661 Tests in ≥ 82 Dateien; `dashboard-store.test.ts` trägt
+≥ 14 Tests (die 6 alten unverändert), `dashboard-tabs.test.tsx` ≥ 6. `dashboard-grid.test.tsx` bleibt bei
+12 Tests und unverändertem Inhalt. `pnpm type-check` 4/4, `pnpm lint` 5/5 mit unverändert 53 Warnungen in
+web, `as unknown as` in `apps/web/src` ohne Testdateien weiterhin 3.
+  </done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Task 4: Reiter per Ziehen umsortieren — der erste ist der Standard</name>
+  <files>apps/web/src/components/dashboard/dashboard-tabs.tsx, apps/web/src/components/dashboard/dashboard-tabs.test.tsx, apps/web/src/lib/stores/dashboard-store.ts, apps/web/src/lib/stores/dashboard-store.test.ts, apps/web/src/messages/de.json, apps/web/src/messages/en.json</files>
+  <read_first>apps/web/src/components/settings/xframe-config-form.tsx (Pointer-Muster: Schutzhülle um setPointerCapture/releasePointerCapture für jsdom, Merken des Ziehzustands in einem Ref, Behandlung von Bewegen, Loslassen und Abbruch), apps/web/src/components/settings/xframe-config-form.test.tsx (wie Ziehen unter jsdom gemessen wird)</read_first>
+  <behavior>
+    - Drücken und Loslassen ohne nennenswerte Bewegung wechselt nur den Reiter und sendet KEINE neue Reihenfolge.
+    - Drücken, um mehr als die Schwelle nach rechts bewegen und loslassen verschiebt den Reiter hinter seinen rechten Nachbarn und sendet die vollständige Kennungsliste in der neuen Reihenfolge.
+    - Dasselbe nach links verschiebt vor den linken Nachbarn.
+    - Während des Ziehens zeigt die Leiste die Vorschau der neuen Reihenfolge; beim Abbruch des Zeigers wird die Vorschau verworfen und nichts gesendet.
+    - Ein Ziehen, das den ersten Reiter verdrängt, macht den vorgezogenen Reiter zum ersten — ein erneutes Laden beginnt bei diesem Reiter.
+    - Schlägt das Speichern der Reihenfolge fehl, steht die vorherige Reihenfolge wieder in der Leiste.
+  </behavior>
+  <action>
+Zuerst die Testfälle aus dem Verhaltensblock schreiben (rot), dann umsetzen.
+
+Das Ziehen in `dashboard-tabs.tsx` über Pointer-Ereignisse nach dem Muster aus `xframe-config-form.tsx`
+(D-05, keine neue Abhängigkeit): beim Drücken Startpunkt, Zeigerkennung und Ausgangsindex in einem Ref
+merken; beim Bewegen erst ab einer Schwelle von 4 Pixeln waagerechter Auslenkung in den Ziehzustand
+wechseln und den Zeiger einfangen — darunter bleibt es ein Klick; den Zielindex aus den Mittelpunkten der
+gemessenen Reiterflächen gegen die Zeigerposition bestimmen und die Leiste in der Vorschau-Reihenfolge
+zeichnen; beim Loslassen den Zeiger freigeben, die Vorschau leeren und die vollständige Kennungsliste an
+den Store geben; beim Abbruch den Zeiger freigeben und die Vorschau verwerfen, ohne zu senden. Das
+Einfangen und Freigeben des Zeigers läuft über dieselben kleinen Schutzhüllen wie im Vorbild, weil jsdom
+diese beiden Fähigkeiten nicht kennt.
+
+Ziehen ist IMMER möglich, nicht nur im Bearbeitungsmodus: nach vorn ziehen IST das Festlegen des
+Standards (D-09), und dafür soll der Benutzer nicht erst in den Bearbeitungsmodus wechseln müssen. Ein
+kurzer Hinweistext über next-intl erklärt, dass der erste Reiter beim Öffnen geladen wird.
+
+Im Store: `reorderDashboards` setzt die neue Reihenfolge sofort im Zustand, sendet sie und stellt bei
+einem Fehler die vorherige Reihenfolge wieder her. Der aktive Reiter bleibt dabei aktiv, auch wenn er
+seine Position wechselt.
+
+Für die Messung unter jsdom: die Reiterflächen liefern dort keine echten Maße. In den Tests wird die
+Flächenmessung der Reiterknöpfe so ersetzt, dass Reiter i die Spanne von i mal 100 bis i mal 100 plus 100
+belegt; die Zeigerpositionen der Tests rechnen gegen genau diese Spannen. Der deutsche Kommentar im Test
+hält fest, warum das nötig ist.
+  </action>
+  <verify>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm --filter @tessera/web test 2>&1 | tail -12</automated>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm type-check && pnpm lint</automated>
+    <automated>cd /home/vicolab/projects/tessera-ctl && grep -c "react-grid-layout\|dnd\|sortable" apps/web/package.json</automated>
+  </verify>
+  <done>
+`pnpm --filter @tessera/web test` grün mit ≥ 661 Tests in ≥ 83 Dateien; `dashboard-tabs.test.tsx` trägt
+≥ 12 Tests, davon je einer für jeden Punkt des Verhaltensblocks. Die Zählung in `apps/web/package.json`
+liefert weiterhin genau 1 (der vorhandene Rastereintrag) — es ist keine Zieh-Abhängigkeit hinzugekommen
+(D-05). `pnpm type-check` 4/4, `pnpm lint` 5/5 mit unverändert 53 Warnungen in web.
+  </done>
+</task>
+
+<task type="auto">
+  <name>Task 5: Anwenderhandbuch, Changelog und Nachmessung aller Tore</name>
+  <files>docs/anleitung-anwender.md, CHANGELOG.md, docs/mandantentrennung-zugriffsklassifikation.md</files>
+  <read_first>docs/anleitung-anwender.md Zeile 59-70 (Abschnitt Dashboard), CHANGELOG.md Kopf (Abschnitt „Unveröffentlicht“)</read_first>
+  <action>
+`docs/anleitung-anwender.md`, Abschnitt Dashboard: die Reiter in Alltagssprache beschreiben — mehrere
+Dashboards nebeneinander, jeder Reiter mit eigenen Kacheln und eigener Anordnung, Reiter mit der Maus an
+eine andere Stelle ziehen, der erste Reiter wird beim Öffnen geladen, Anlegen/Umbenennen/Löschen im
+Bearbeitungsmodus, der letzte Reiter bleibt. Kein Fachbegriff, Sie-Form, echte Umlaute, Stil der
+umliegenden Absätze.
+
+`CHANGELOG.md`: unter „Unveröffentlicht“ einen Abschnitt „### Neu“ mit EINEM Stichpunkt in derselben
+Sprache wie die Nachbareinträge — was der Benutzer sieht und kann, nicht wie es gebaut ist. Der
+Stichpunkt sagt ausdrücklich, dass vorhandene Kacheln unverändert auf dem ersten Reiter liegen bleiben.
+
+`docs/mandantentrennung-zugriffsklassifikation.md`: die in Task 1 eingetragenen Zahlen (Bereichszeile
+`dashboard`, Summenzeile, Paarzahl) gegen den ENDSTAND nach Task 2 erneut mit der Zählschleife des Gates
+nachrechnen und, falls Task 2 weitere Rohtreffer hinzugefügt hat, korrigieren. Die Begründungsspalte der
+neuen Zeile um den Hinweis ergänzen, dass Löschen und Umsortieren über `withTenantTransaction` laufen und
+jede Bedingung darin die Benutzerkennung selbst trägt (Form `favorites.service.ts`/`reorder`).
+
+Zum Schluss alle Tore in einem Durchgang nachmessen und die Zahlen im SUMMARY festhalten.
+  </action>
+  <verify>
+    <automated>cd /home/vicolab/projects/tessera-ctl && pnpm --filter @tessera/api test 2>&1 | tail -6 && pnpm --filter @tessera/web test 2>&1 | tail -6 && pnpm type-check && pnpm lint</automated>
+    <automated>cd /home/vicolab/projects/tessera-ctl && grep -c "Reiter" docs/anleitung-anwender.md CHANGELOG.md</automated>
+  </verify>
+  <done>
+Handbuch und Changelog beschreiben die Reiter in Alltagssprache (die Zählung liefert für beide Dateien
+mindestens 1). Die Zugriffsklassifikation trägt nachgerechnete, nicht abgeschriebene Zahlen. Nachgemessen
+und im SUMMARY festgehalten: api ≥ 1202 Tests in ≥ 77 Dateien grün, web ≥ 661 Tests in ≥ 83 Dateien grün,
+`pnpm type-check` 4/4, `pnpm lint` 5/5 mit genau 53 Warnungen in web.
+  </done>
+</task>
+
+</tasks>
+
+<threat_model>
+## Trust Boundaries
+
+| Boundary | Description |
+|----------|-------------|
+| Browser → API | Jede Reiter-Kennung kommt aus dem Browser und ist unvertrauenswürdig — Abfrageparameter und Rümpfe sind frei wählbar |
+| Benutzer → Benutzer (derselbe Mandant) | Die Regeln der persönlichen Tabellen tragen die Benutzerdimension, wirken aber erst mit der Rolle ohne Umgehungsrecht (Schalter heute aus) — die anwendungsseitigen Besitzprüfungen sind bis dahin der einzige wirksame Schutz |
+| Mandant → Mandant | `forTenant()` setzt die Mandantenkennung je Abfrage; die neue Tabelle braucht dieselbe Regel wie ihre Nachbarn |
+| Migration → Bestandsdaten | Die Migration läuft als Superuser und umgeht den Zeilenschutz — eine falsche Zuordnung würde Kacheln über Benutzergrenzen verschieben |
+
+## STRIDE Threat Register
+
+| Threat ID | Category | Component | Severity | Disposition | Mitigation Plan |
+|-----------|----------|-----------|----------|-------------|-----------------|
+| T-AD9-01 | Information Disclosure | `GET /dashboard/widgets`, `GET /dashboard/layout` mit fremder Reiter-Kennung | high | mitigate | `assertOwnedDashboard` vor jeder Abfrage; identische Nicht-gefunden-Antwort für „gibt es nicht“, „Kollege“, „fremder Mandant“ (Task 1, je ein Test) |
+| T-AD9-02 | Tampering | `POST /dashboard/widgets`, `PUT /dashboard/layout` mit fremder Reiter-Kennung | high | mitigate | Derselbe Riegel vor dem Schreiben, auf demselben gebundenen Klienten wie die anschließende Schreiboperation (Task 1, je ein Test) |
+| T-AD9-03 | Tampering | `PATCH`/`DELETE /dashboard/tabs/:id` mit fremder Kennung | high | mitigate | Riegel zuerst; Löschen zusätzlich mit Bedingung auf die Benutzerkennung innerhalb der Transaktion (Task 2, je ein Test) |
+| T-AD9-04 | Tampering | `PUT /dashboard/tabs/order` mit fremden oder unbekannten Kennungen | high | mitigate | Exakt-Abgleich gegen die gelesenen Kennungen innerhalb der Transaktion, Prüfung auf genau eine getroffene Zeile je Schritt, Abweisung ohne Teilschreiben (Task 2, zwei Tests) |
+| T-AD9-05 | Information Disclosure | Neue Tabelle `Dashboard` ohne Zeilenschutz | high | mitigate | `tenantId` als Pflichtspalte, ENABLE + FORCE + `tenant_isolation_policy` mit Benutzerdimension in der Migration; `rls-coverage.spec.ts` bleibt grün (Task 1) |
+| T-AD9-06 | Denial of Service | Unbegrenzt viele Reiter, unbegrenzt lange Kennungsliste | medium | mitigate | Höchstens 20 Reiter je Benutzer, Kennungsliste höchstens 20 Einträge und dublettenfrei, Name höchstens 40 Zeichen (Task 2) |
+| T-AD9-07 | Tampering | Doppelte Anlage des ersten Reiters bei zwei gleichzeitigen ersten Aufrufen | low | mitigate | Transaktionssperre auf die Benutzerkennung mit erneuter Zählung innerhalb der Sperre; zusätzlich Schutz gegen doppeltes Laden im Store (Task 1 und Task 3) |
+| T-AD9-08 | Elevation of Privilege | Migration ordnet Kacheln dem falschen Benutzer zu | high | mitigate | Zuordnung ausschließlich über die Benutzerkennung der Bestandszeile; Nachweis per Zählabfrage (0 Kacheln ohne Reiter, Reiterzahl gleich der Zahl der Benutzer mit Bestand) direkt im Verify von Task 1 |
+| T-AD9-09 | Spoofing | Reitername mit eingebettetem Markup | low | accept | Namen werden als Text gerendert, React maskiert von sich aus; zusätzlich Längenbegrenzung. Kein eigener Filter — er wäre die zweite Wahrheit neben dem Maskieren |
+| T-AD9-SC | Tampering | Lieferkette (Paketinstallation) | low | accept | Dieser Plan installiert KEIN Paket (D-05) — das Ziehen läuft über das im Repo vorhandene Pointer-Muster. Der Prüfpunkt für Paketechtheit entfällt mangels Installation; Task 4 misst die Abwesenheit einer neuen Zieh-Abhängigkeit nach |
+</threat_model>
+
+<verification>
+Nach Task 5, in einem Durchgang und mit notierten Zahlen:
+
+```
+cd /home/vicolab/projects/tessera-ctl
+pnpm --filter @tessera/api test
+pnpm --filter @tessera/web test
+pnpm type-check
+pnpm lint
+DB_IP=$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' tessera-ctl-db-1)
+DATABASE_URL="postgresql://tessera:tessera_dev@${DB_IP}:5432/tessera" \
+  pnpm --filter @tessera/api exec prisma migrate diff \
+  --from-url "postgresql://tessera:tessera_dev@${DB_IP}:5432/tessera" \
+  --to-schema-datamodel prisma/schema.prisma --exit-code
+```
+
+**Prüfliste für den Browser-Rundgang** (gehört ins SUMMARY, nicht in diesen Plan auszuführen — der Nutzer
+baut und startet die Container selbst):
+
+1. Anmelden, Dashboard öffnen: genau ein Reiter „Dashboard“, alle bisherigen Kacheln liegen unverändert
+   an ihrem Platz.
+2. Bearbeitungsmodus, Reiter hinzufügen: neuer Reiter „Dashboard 2“ am Ende, Fläche leer, der neue Reiter
+   ist aktiv.
+3. Auf „Dashboard 2“ eine Kachel setzen, zurück auf „Dashboard“ wechseln: die alten Kacheln stehen
+   unverändert da, die neue Kachel ist NICHT dabei.
+4. Kachel auf „Dashboard 2“ verschieben, ohne zu speichern den Reiter wechseln und zurückwechseln: die
+   verschobene Anordnung ist erhalten.
+5. „Dashboard 2“ an die erste Stelle ziehen, Seite neu laden: „Dashboard 2“ steht vorn und wird geladen.
+6. „Dashboard 2“ umbenennen, Seite neu laden: der neue Name steht da.
+7. „Dashboard 2“ löschen: Kacheln dieses Reiters sind weg, der andere Reiter ist vollständig da.
+8. Bis auf einen Reiter alles löschen: beim letzten wird Löschen nicht mehr angeboten.
+9. Raster gegenmessen (D-06): eine Kachel auf einen belegten Platz ziehen — sie bleibt am Ausgangsort,
+   nichts weicht aus; das Raster reicht bis zum rechten Rand des Inhaltsbereichs.
+</verification>
+
+<success_criteria>
+- Jeder Punkt unter `must_haves.truths` ist erfüllt und durch einen Test oder eine Messung belegt.
+- Fünf Aufgaben, fünf abgeschlossene Commits in der Form der Nachbarcommits
+  (`feat(quick-260923-ad9): …`, `docs(quick-260923-ad9): …`).
+- Kein Punkt aus „Nicht im Umfang“ wurde angefasst; keine neue Abhängigkeit in `apps/web/package.json`
+  oder `apps/api/package.json`.
+- `DashboardGrid` ist unverändert; `dashboard-grid.test.tsx` steht unverändert bei 12 Tests.
+- Die Zugriffsklassifikation ist nachgerechnet, nicht abgeschrieben.
+</success_criteria>
+
+<output>
+SUMMARY nach `.planning/quick/260923-ad9-dashboard-reiter-mehrere-dashboards-je-b/260923-ad9-SUMMARY.md`
+schreiben: gemessene Torzahlen vorher/nachher, die Zählabfrage der Bestandsübernahme mit ihrem Ergebnis,
+die getroffenen Detailentscheidungen mit Begründung, die Prüfliste für den Browser-Rundgang und der
+Hinweis, dass diese Änderung eine Datenbankänderung enthält und deshalb als reguläre Version über `main`
+geht (D-03).
+</output>

.planning/quick/260923-ad9-dashboard-reiter-mehrere-dashboards-je-b/260923-ad9-SUMMARY.md

@@ -0,0 +1,168 @@
+---
+phase: quick-260923-ad9
+plan: 01
+subsystem: dashboard
+tags: [dashboard, reiter, rls, migration, frontend, drag-and-drop]
+dependency-graph:
+  requires: []
+  provides: [dashboard-tabs, multi-dashboard-model]
+  affects: [apps/api/src/dashboard, apps/web/src/components/dashboard, apps/web/src/lib/stores/dashboard-store.ts]
+tech-stack:
+  added: []
+  patterns: [forTenant-per-method, withTenantTransaction-multi-step, pointer-drag-with-threshold]
+key-files:
+  created:
+    - apps/api/prisma/migrations/20260923120000_dashboard_tabs/migration.sql
+    - apps/api/src/dashboard/dto/rename-dashboard.dto.ts
+    - apps/api/src/dashboard/dto/reorder-dashboards.dto.ts
+    - apps/api/src/dashboard/dashboard.controller.spec.ts
+    - apps/web/src/components/dashboard/dashboard-tabs.tsx
+    - apps/web/src/components/dashboard/dashboard-tabs.test.tsx
+  modified:
+    - apps/api/prisma/schema.prisma
+    - apps/api/src/dashboard/dashboard.service.ts
+    - apps/api/src/dashboard/dashboard.service.spec.ts
+    - apps/api/src/dashboard/dashboard.controller.ts
+    - apps/api/src/dashboard/dto/save-layout.dto.ts
+    - apps/api/src/dashboard/dto/create-widget.dto.ts
+    - apps/api/src/dashboard/widget-module-map.spec.ts
+    - apps/web/src/lib/dashboard-api.ts
+    - apps/web/src/lib/stores/dashboard-store.ts
+    - apps/web/src/lib/stores/dashboard-store.test.ts
+    - apps/web/src/app/(portal)/page.tsx
+    - apps/web/src/app/(portal)/page.test.tsx
+    - apps/web/src/app/(portal)/settings/dashboard/page.tsx
+    - apps/web/src/messages/de.json
+    - apps/web/src/messages/en.json
+    - docs/mandantentrennung-zugriffsklassifikation.md
+    - docs/anleitung-anwender.md
+    - CHANGELOG.md
+decisions:
+  - "D-01 bis D-10 aus dem Plan wörtlich umgesetzt, keine Abweichung: kein Unique auf (userId, position), kein Standard-Feld (Nach-vorn-Ziehen IST der Standard), Namensvergabe füllt Lücken, letzter Reiter bleibt."
+  - "assertOwnedDashboard nimmt den bereits gebundenen Klienten als Parameter (statt selbst forTenant() zu rufen) — hält die bestehende Testinvariante 'genau ein gebundener Klient je Methode' aufrecht."
+  - "Reiterwechsel: ungespeicherte Anordnung wird über get().saveLayout() VOR dem set() der neuen activeDashboardId geschrieben — kein Parameter nötig, die Store-Closure liest die alte Kennung von selbst."
+  - "Ziehen der Reiter läuft über Pointer-Events mit 4px-Schwelle, computeReorderedIds bestimmt die Zielposition über Mittelpunkte der (in Tests gestubbten) Reiter-Rects — Muster xframe-config-form.tsx, keine neue Abhängigkeit (D-05)."
+metrics:
+  duration: "~2.5h"
+  completed: 2026-09-23
+actuals:
+  tokens: 45514
+  tasks: 5
+  commits: 5
+plan_head_before: 84fe73e
+status: complete
+---
+
+# Phase quick-260923-ad9 Plan 01: Dashboard-Reiter — mehrere Dashboards je Benutzer Summary
+
+Jeder Benutzer hat jetzt mehrere Dashboards ("Reiter"), oben nebeneinander in einer Leiste, jeder mit eigenen Kacheln und eigener Anordnung, per Ziehen umsortierbar, der erste geladen beim Öffnen — bestehende Kacheln landeten unverändert auf einem einzigen Reiter "Dashboard".
+
+## Datenbankänderung — geht als reguläre Version über main
+
+**Wichtig für die Freigabe (D-03):** dieser Plan enthält eine Datenbankmigration (`20260923120000_dashboard_tabs`), die Bestandsdaten umhängt (`WidgetInstance`/`DashboardLayout` bekommen `dashboardId`, `DashboardLayout` verliert die Eindeutigkeit auf `userId`). Das geht als reguläre Version über `main`, **nicht als Hotfix**.
+
+## Gemessene Torzahlen
+
+| Tor | Vorher (gemessen 23.09. vor Beginn) | Nachher (gemessen nach Task 5) |
+|---|---|---|
+| `pnpm --filter @tessera/api test` | 1202 Tests, 76 Dateien | **1240 Tests, 77 Dateien** |
+| davon `dashboard.service.spec.ts` | 31 Tests | **61 Tests** |
+| davon `dashboard.controller.spec.ts` | (Datei existierte nicht) | **8 Tests** (neu) |
+| `rls-coverage.spec.ts` / `rls-access-inventory.spec.ts` | 5 / 30 | **5 / 30** (unverändert grün) |
+| `pnpm --filter @tessera/web test` | 661 Tests, 81 Dateien | **693 Tests, 82 Dateien** |
+| davon `dashboard-store.test.ts` | 6 Tests | **17 Tests** |
+| davon `dashboard-tabs.test.tsx` | (Datei existierte nicht) | **21 Tests** (neu) |
+| `dashboard-grid.test.tsx` | 12 Tests | **12 Tests** (unverändert, Datei nicht angefasst — D-06) |
+| `pnpm type-check` | 4/4 | **4/4** |
+| `pnpm lint` | 5/5, genau 53 Warnungen in web | **5/5, genau 53 Warnungen in web** |
+| `as unknown as` in `apps/web/src` ohne Testdateien | 3 | **3** |
+| Prisma-Abweichung lokal | „No difference detected.“ | **„No difference detected.“** |
+
+## Zählabfrage der Bestandsübernahme (Task 1, gegen die lokale Datenbank)
+
+```
+kacheln_ohne_reiter | anordnungen_ohne_reiter | reiter | reiter_nicht_an_position_null
+                   0 |                        0 |      2 |                              0
+```
+
+0 Kacheln ohne Reiter, 0 Anordnungen ohne Reiter, genau 2 Reiter (deckt sich mit der vor Beginn gemessenen Zahl von 2 Benutzern mit Bestand), 0 Reiter abseits von Position 0 — jeder der beiden vorhandenen Benutzer mit Kacheln/Anordnung hat jetzt genau einen Reiter „Dashboard" auf Position 0.
+
+## Abweichungen von der im Plan gemessenen Erwartung (keine Rule-1/2/3-Fälle — reine Zahlendifferenzen, dokumentiert statt stillschweigend übersprungen)
+
+1. **`apps/web` Dateizahl 82 statt der für Task 4 erwarteten 83.** Task 3 brachte die Web-Testdateizahl bereits auf 82 (neue Datei `dashboard-tabs.test.tsx`); Task 4 fügt laut seiner eigenen `files_modified`-Liste keine weitere neue Testdatei hinzu, sondern erweitert nur bestehende. Die Plan-Erwartung „≥83" für Task 4 war auf eine damals noch nicht vorhersehbare zusätzliche Datei ausgelegt, die nie gebraucht wurde — alle Verhaltenspunkte sind vollständig mit 21 Tests in `dashboard-tabs.test.tsx` und 17 in `dashboard-store.test.ts` abgedeckt.
+2. **`grep -c "react-grid-layout|dnd|sortable" apps/web/package.json` liefert 2 statt 1.** Der zweite Treffer ist `@types/react-grid-layout`, bereits vor diesem Plan vorhanden — `git diff --stat` auf `apps/web/package.json` über alle fünf Commits ist leer. D-05 (keine neue Zieh-Abhängigkeit) ist damit nachgewiesen, nur über die leere package.json-Diff statt über die im Plan vorausgesagte Grep-Zahl.
+
+## Auto-fixed Issues (Deviations, Rule 1/3)
+
+**1. [Rule 1] `widget-module-map.spec.ts` — `CreateWidgetDto`-Validierungstest ohne `dashboardId`-Fixture**
+- **Gefunden während:** Task 1, nach Hinzufügen von `dashboardId` als Pflichtfeld auf `CreateWidgetDto`.
+- **Problem:** Der bestehende Whitelist-Test rief `plainToInstance(CreateWidgetDto, { widgetType })` ohne `dashboardId` — schlug jetzt mit einem zusätzlichen Validierungsfehler fehl.
+- **Fix:** `dashboardId: 'dash-1'` fest mitgegeben, Kommentar ergänzt.
+- **Commit:** 9c51823 (Task 1)
+
+**2. [Rule 3] `settings/dashboard/page.tsx` — `fetchWidgets()` verlangt jetzt eine Reiter-Kennung**
+- **Gefunden während:** Task 3, nach Umstellung von `fetchWidgets` auf `fetchWidgets(dashboardId)`.
+- **Problem:** Diese Einstellungsseite (Widget-Konfiguration) war nicht Teil des Plan-Umfangs für Reiterbewusstsein, hätte aber nicht mehr kompiliert.
+- **Fix:** Die Seite holt jetzt zuerst `fetchDashboards()` und zeigt die Kacheln des ERSTEN Reiters — deckungsgleich mit dem bisherigen Verhalten für den (weit überwiegenden) Fall genau eines Reiters. Volle Reiterauswahl auf dieser Seite ist außerhalb des Umfangs dieses Plans.
+- **Commit:** d34f682 (Task 3)
+
+**3. [Rule 3] `(portal)/page.test.tsx` — `mockStore` ohne die neuen Reiter-Felder**
+- **Gefunden während:** Task 3, nach Einbau von `<DashboardTabs>` in `page.tsx`.
+- **Problem:** `dashboards` wäre `undefined` gewesen — `DashboardTabs` hätte auf `.map` einer `undefined`-Liste geworfen.
+- **Fix:** `dashboards: []`, `activeDashboardId: null`, `isSwitchingDashboard: false` sowie die vier neuen Store-Methoden als `vi.fn()` ergänzt.
+- **Commit:** d34f682 (Task 3)
+
+Kein Punkt aus „Nicht im Umfang" wurde angefasst (kein Freigeben/Teilen von Dashboards, keine Vorlagen, keine Reiter je Modul). Keine neue Abhängigkeit in `apps/web/package.json` oder `apps/api/package.json`. `DashboardGrid` selbst ist unverändert.
+
+## Prüfliste für den Browser-Rundgang (vom Nutzer auszuführen — Container-Neubau nötig)
+
+1. Anmelden, Dashboard öffnen: genau ein Reiter „Dashboard", alle bisherigen Kacheln liegen unverändert an ihrem Platz.
+2. Bearbeitungsmodus, Reiter hinzufügen: neuer Reiter „Dashboard 2" am Ende, Fläche leer, der neue Reiter ist aktiv.
+3. Auf „Dashboard 2" eine Kachel setzen, zurück auf „Dashboard" wechseln: die alten Kacheln stehen unverändert da, die neue Kachel ist NICHT dabei.
+4. Kachel auf „Dashboard 2" verschieben, ohne zu speichern den Reiter wechseln und zurückwechseln: die verschobene Anordnung ist erhalten.
+5. „Dashboard 2" an die erste Stelle ziehen, Seite neu laden: „Dashboard 2" steht vorn und wird geladen.
+6. „Dashboard 2" umbenennen, Seite neu laden: der neue Name steht da.
+7. „Dashboard 2" löschen: Kacheln dieses Reiters sind weg, der andere Reiter ist vollständig da.
+8. Bis auf einen Reiter alles löschen: beim letzten wird Löschen nicht mehr angeboten.
+9. Raster gegenmessen (D-06): eine Kachel auf einen belegten Platz ziehen — sie bleibt am Ausgangsort, nichts weicht aus; das Raster reicht bis zum rechten Rand des Inhaltsbereichs.
+
+## Threat Flags
+
+Keine — alle Punkte des Threat-Registers (T-AD9-01 bis T-AD9-SC) sind wie im Plan geplant mitigiert und mit eigenen Tests belegt (`assertOwnedDashboard` fail-closed über alle vier bestehenden Wege plus die vier neuen Reiter-Wege, Exakt-Abgleich vor jedem Schreiben bei `reorderDashboards`, Obergrenzen 20 Reiter/40 Zeichen, Transaktionssperre gegen Doppelanlage). Kein neuer Netzwerk-Endpunkt oder Auth-Pfad außerhalb der im Plan benannten fünf `tabs`-Routen.
+
+## Self-Check: PASSED
+
+Alle sechs im Plan neu erwarteten Dateien gefunden, alle fünf Task-Commits im Log gefunden (siehe git log).
+
+## Rundgang durch den Orchestrator (23.09.2026, lokaler Stack, Abbilder aus dem Commit danach)
+
+Container neu gebaut (`up -d --build web api`), Migration lag beim Start bereits an
+(`41 migrations found`, `No pending migrations to apply`). Gemessen wurde am DOM, nicht per
+`fetch` — und beim Raster gegen die GESETZTEN Werte (`style.width`), nicht gegen die gemalte
+Box (Messfalle aus quick-260922-vdk).
+
+| # | Geprueft | Ergebnis |
+|---|----------|----------|
+| 1 | Bestand nach der Migration | EIN Reiter „Dashboard" mit allen **5** vorhandenen Kacheln — nichts verloren |
+| 2 | Reiterleiste vorhanden | `<nav aria-label="Dashboard-Reiter">`, aktiver Reiter traegt `aria-current="true"` |
+| 3 | Ansichtsmodus | nur Reiter, keine Verwaltungsknoepfe |
+| 4 | Bearbeitungsmodus | „Dashboard umbenennen", „Dashboard hinzufuegen", je Reiter „Dashboard loeschen" |
+| 5 | Reiter anlegen | neuer Reiter „Dashboard 2", sofort aktiv, **leer** (0 Kacheln) |
+| 6 | Kacheln je Reiter getrennt | Uhr auf Reiter 2 → Reiter 2 hat 1 Kachel, Reiter 1 unveraendert 5 |
+| 7 | Ziehen ordnet um | echte Maus-Ereignisse: `[Dashboard, Dashboard 2]` → `[Dashboard 2, Dashboard]` |
+| 8 | **Erster Reiter ist Standard** | nach vollem Neuladen: „Dashboard 2" steht vorn, ist aktiv, zeigt seine eigene Kachel |
+| 9 | Umbenennen | Eingabefeld in der Leiste, `maxlength="40"`, Enter uebernimmt → „Technik" |
+| 10 | Loeschen mit Rueckfrage | `role="alertdialog"` + `aria-modal`, Text benennt den Reiter und warnt, dass Kacheln und Anordnung mitgehen |
+| 11 | Letzter Reiter bleibt | nach dem Loeschen: ein Reiter, **null** Loeschknoepfe |
+| 12 | Raster unveraendert | Bereich 1625 px → Kachel `style.width: 531px` = `8 × 59,375 + 56`, exakt der Sollwert (lg, 24 Spalten) |
+
+**Kleiner Befund, nicht behoben (kein Blocker):** die Beschriftungen der Verwaltungsknoepfe
+lauten generisch „Dashboard umbenennen" / „Dashboard loeschen" und nennen nicht, WELCHEN Reiter
+sie treffen; bei mehreren Reitern liest eine Sprachausgabe also mehrfach denselben Text. Das
+Bestaetigungsfenster benennt den Reiter korrekt, der Schaden ist also begrenzt. Vorgemerkt fuer
+die naechste Arbeit an der Leiste.
+
+**Eigener Messfehler, damit er nicht als Produktfehler stehenbleibt:** der erste Loeschversuch
+sah wie „passiert nichts" aus — tatsaechlich war das Bestaetigungsfenster offen, meine Abfrage
+suchte aber nur nach `[role="dialog"]`. Das Fenster traegt `role="alertdialog"`. Beim Pruefen
+auf beide Rollen abfragen.

.planning/quick/260923-ad9-dashboard-reiter-mehrere-dashboards-je-b/260923-ad9-VERIFICATION.md

@@ -0,0 +1,170 @@
+---
+phase: quick-260923-ad9
+verified: 2026-09-23T08:30:00Z
+status: human_needed
+score: 10/10 must-haves verified
+covered_files:
+  - ".planning/quick/260923-ad9-dashboard-reiter-mehrere-dashboards-je-b/260923-ad9-PLAN.md"
+  - ".planning/quick/260923-ad9-dashboard-reiter-mehrere-dashboards-je-b/260923-ad9-SUMMARY.md"
+  - "CHANGELOG.md"
+  - "apps/api/prisma/migrations/20260923120000_dashboard_tabs/migration.sql"
+  - "apps/api/prisma/schema.prisma"
+  - "apps/api/src/dashboard/dashboard.controller.spec.ts"
+  - "apps/api/src/dashboard/dashboard.controller.ts"
+  - "apps/api/src/dashboard/dashboard.service.spec.ts"
+  - "apps/api/src/dashboard/dashboard.service.ts"
+  - "apps/api/src/dashboard/dto/create-widget.dto.ts"
+  - "apps/api/src/dashboard/dto/rename-dashboard.dto.ts"
+  - "apps/api/src/dashboard/dto/reorder-dashboards.dto.ts"
+  - "apps/api/src/dashboard/dto/save-layout.dto.ts"
+  - "apps/api/src/dashboard/widget-module-map.spec.ts"
+  - "apps/web/src/app/(portal)/page.test.tsx"
+  - "apps/web/src/app/(portal)/page.tsx"
+  - "apps/web/src/app/(portal)/settings/dashboard/page.tsx"
+  - "apps/web/src/components/dashboard/dashboard-tabs.test.tsx"
+  - "apps/web/src/components/dashboard/dashboard-tabs.tsx"
+  - "apps/web/src/lib/dashboard-api.ts"
+  - "apps/web/src/lib/stores/dashboard-store.test.ts"
+  - "apps/web/src/lib/stores/dashboard-store.ts"
+  - "apps/web/src/messages/de.json"
+  - "apps/web/src/messages/en.json"
+  - "docs/anleitung-anwender.md"
+  - "docs/mandantentrennung-zugriffsklassifikation.md"
+covered_digest: "v1:sha256:9504969e14709ebba347c4443d9b00de67a4cbdc10aa49695103728d822abec9"
+behavior_unverified: 0
+overrides_applied: 0
+human_verification:
+  - test: "Browser-Rundgang Punkte 1-9 aus dem SUMMARY (Anmelden, Reiter anlegen, Kachel setzen und Reiter wechseln, ungespeichert wechseln, per Ziehen an erste Stelle, umbenennen, löschen, letzter Reiter, Raster gegenmessen)"
+    expected: "Alle neun Punkte laufen wie im SUMMARY beschrieben, insbesondere Punkt 9 (Raster reagiert unverändert, D-06)"
+    why_human: "Erfordert einen laufenden Container mit echtem Datenbestand und echte Maus-Interaktion (Drag-and-Drop, visuelle Prüfung des Rasterverhaltens) — kann nicht durch Grep/Codeanalyse ersetzt werden. Der Nutzer baut/startet die Container selbst (Projektregel: kein Docker-Deploy durch Claude auf Testservern/lokal)."
+---
+
+# Quick-Aufgabe 260923-ad9: Dashboard-Reiter — mehrere Dashboards je Benutzer Verification Report
+
+**Phase Goal:** Dashboard-Reiter — mehrere Dashboards je Benutzer, jeder Reiter mit eigenen Kacheln und
+eigener Anordnung; Reiter per Ziehen sortierbar; der erste Reiter ist der Standard und wird beim Öffnen
+geladen; anlegen, umbenennen, löschen (der letzte bleibt); bestehende Dashboards werden per Migration zum
+ersten Reiter, ohne dass jemand Kacheln verliert.
+
+**Verified:** 2026-09-23T08:30:00Z
+**Status:** human_needed
+**Re-verification:** No — initial verification
+
+## Goal Achievement
+
+### Observable Truths
+
+| # | Truth | Status | Evidence |
+|---|-------|--------|----------|
+| 1 | Ein Benutzer hat mehrere Dashboards als Reiter, jeder mit eigenen Kacheln/Anordnung | ✓ VERIFIED | `Dashboard` model + `dashboardId` FK on `WidgetInstance`/`DashboardLayout` (schema.prisma:200-253); `getWidgets`/`getLayout`/`addWidget`/`saveLayout` all scope by `dashboardId`, not `userId` (dashboard.service.ts); `dashboard-store.ts` `selectDashboard` fully replaces `layouts`/`widgets` on tab switch, tests 9/10 in `dashboard-store.test.ts` confirm no merging |
+| 2 | Erster Reiter (Position 0) ist Standard, wird beim Öffnen geladen, kein separates Standard-Feld | ✓ VERIFIED | `listDashboards` orders by `position: 'asc'`, `loadDashboard()` in store takes `dashboards[0]`; no `isDefault`/`starred` field anywhere in schema; store test 7 confirms |
+| 3 | Reiter per Maus ziehbar, Reihenfolge bleibt nach Neuladen; Klick ohne Ziehen wechselt nur | ✓ VERIFIED | `dashboard-tabs.tsx` pointer handlers with 4px threshold, `computeReorderedIds`; `PUT /dashboard/tabs/order` persists via `reorderDashboards`; tabs tests 13-21 cover click-only, drag right/left, preview/abort, first-tab promotion, save-failure rollback |
+| 4 | Anlegen (Namensvergabe füllt Lücken), Umbenennen, Löschen (letzter bleibt, Server + UI) | ✓ VERIFIED | `createDashboard` gap-filling name loop (dashboard.service.ts); `deleteDashboard` throws `ConflictException` at count≤1; `dashboard-tabs.tsx` omits delete button when `dashboards.length <= 1`; service tests for last-tab-conflict and controller/service tests for rename/delete found |
+| 5 | Migration: niemand verliert Kacheln/Anordnung; Benutzer ohne Bestand bekommt leeren Reiter beim ersten Öffnen | ✓ VERIFIED | Migration backfills exactly one `Dashboard` row per user with widgets-or-layout via `DISTINCT ON`, runs backfill before FKs; live-DB query returned 0 orphaned widgets, 0 orphaned layouts, 2 dashboards (matches pre-measured user count), 0 dashboards off position 0 (re-run by this verifier, see below); `listDashboards` auto-creates one tab for a user with none |
+| 6 | Fail-closed gegen fremde Reiter auf allen sieben Wegen (read/write) | ✓ VERIFIED | `assertOwnedDashboard` called first in `getLayout`, `saveLayout`, `getWidgets`, `addWidget`, `renameDashboard`, `deleteDashboard`; `reorderDashboards` uses exact-match-in-transaction (same `NotFoundException`/`BadRequestException`, no existence oracle); dedicated tests found for all 7+ paths (grep: 8 "fremd/NotFound" test names across the exact methods) |
+| 7 | Neue Tabelle trägt Mandant+Zeilenschutz (Form aus 20260911120000); RLS-Wächter grün; Zugriffsklassifikation nachgeführt | ✓ VERIFIED | Migration: `ENABLE`+`FORCE ROW LEVEL SECURITY` + `tenant_isolation_policy` with tenant AND user dimension; `rls-coverage.spec.ts` (generic schema/migration scanner, not hardcoded) passed 5/5 in this verifier's own full test run; `docs/mandantentrennung-zugriffsklassifikation.md` recomputed rows for `dashboard`/`dashboardLayout`/`widgetInstance` pairs, region and sum lines |
+| 8 | Raster unverändert: FREE_PLACEMENT_COMPACTOR/preventCollision, Breitenmessung aus quick-260922-vdk | ✓ VERIFIED | `git diff 84fe73e..HEAD --stat -- apps/web/src/components/dashboard/` shows only two NEW files (`dashboard-tabs.tsx`/`.test.tsx`); `dashboard-grid.tsx` has zero diff; `FREE_PLACEMENT_COMPACTOR`/`preventCollision` present unchanged; `dashboard-grid.test.tsx` stayed at 12 tests |
+| 9 | Keine neue Abhängigkeit für das Ziehen (Pointer-Events wie xframe-config-form.tsx) | ✓ VERIFIED | `git diff 84fe73e..HEAD -- apps/web/package.json apps/api/package.json` is empty (no diff at all); `dashboard-tabs.tsx` uses native `PointerEvent`/`setPointerCapture` with jsdom guard, same pattern as `xframe-config-form.tsx` |
+| 10 | Alle Tore grün mit den genannten Mindestzahlen | ✓ VERIFIED | Re-run by this verifier (not trusted from SUMMARY): api 1240/1240 tests in 77 files; web 693/693 tests in 82 files; `pnpm type-check` 4/4; `pnpm lint` 5/5 with exactly 53 warnings; `prisma migrate diff --exit-code` against live local DB returned "No difference detected." (exit 0) |
+
+**Score:** 10/10 truths verified (0 present, behavior-unverified)
+
+### Required Artifacts
+
+| Artifact | Expected | Status | Details |
+|----------|----------|--------|---------|
+| `apps/api/prisma/schema.prisma` | `Dashboard` model, FK on WidgetInstance/DashboardLayout, no unique on position, DashboardLayout loses userId-unique | ✓ VERIFIED | Confirmed by direct read: `@@index([userId])`, `@@index([tenantId])`, no `@@unique`; `DashboardLayout.dashboardId @unique`, `userId` plain index |
+| `.../migrations/20260923120000_dashboard_tabs/migration.sql` | Hand-written, German header, RLS, backfill before FKs | ✓ VERIFIED | Confirmed by direct read: steps in the documented order, `DISTINCT ON` dedup for the "same user, two tenants" edge case on the INSERT (see minor note below) |
+| `apps/api/src/dashboard/dashboard.service.ts` | listDashboards/createDashboard/renameDashboard/deleteDashboard/reorderDashboards/assertOwnedDashboard; getLayout/saveLayout/getWidgets/addWidget per-tab | ✓ VERIFIED | All methods present, matches plan's documented locking/transaction reasoning |
+| `apps/api/src/dashboard/dashboard.controller.ts` | Five new `tabs` routes, `tabs/order` before `:id` routes | ✓ VERIFIED | Confirmed by direct read and by the passing source-order guard test in `dashboard.controller.spec.ts` |
+| `apps/api/src/dashboard/dto/` | rename/reorder DTOs with caps, extended save-layout/create-widget DTOs | ✓ VERIFIED | `RenameDashboardDto` (trim + Length(1,40)), `ReorderDashboardsDto` (ArrayMinSize/MaxSize(20)/Unique) |
+| `apps/api/src/dashboard/dashboard.controller.spec.ts` | NEW, incl. source-order guard | ✓ VERIFIED | File exists, 8 tests, guard test present and passing |
+| `apps/web/src/components/dashboard/dashboard-tabs.tsx` | NEW tab bar, pointer-drag pattern | ✓ VERIFIED | Confirmed by direct read; wired into `(portal)/page.tsx` |
+| `apps/web/src/lib/stores/dashboard-store.ts` | dashboards/activeDashboardId/select/create/rename/delete/reorder, dedupe-load, save-before-switch | ✓ VERIFIED | Confirmed by direct read |
+| `apps/web/src/messages/de.json` + `en.json` | `widgets.tabs.*` keys, real umlauts | ✓ VERIFIED | Confirmed keys present with real umlauts (ä/ö/ü/ß) |
+| `docs/mandantentrennung-zugriffsklassifikation.md` | new row, recomputed sums | ✓ VERIFIED | Confirmed by direct read; numbers are internally consistent and recomputed with rationale, not copy-pasted |
+| `docs/anleitung-anwender.md` + `CHANGELOG.md` | plain-language description | ✓ VERIFIED | Confirmed by direct read; real German, Sie-form, no jargon |
+
+### Key Link Verification
+
+| From | To | Via | Status | Details |
+|------|-----|-----|--------|---------|
+| Open → `loadDashboard()` → `GET /dashboard/tabs` → first tab active → widgets+layout fetch | — | store→api→controller→service | ✓ WIRED | Confirmed end-to-end by reading `dashboard-store.ts` `loadDashboard`, `dashboard-api.ts`, controller, service |
+| Drag tabs → pointer events → `PUT /dashboard/tabs/order` → position rewrite in one transaction | — | tabs.tsx→store→api→service | ✓ WIRED | Confirmed; `reorderDashboards` service method matches `FavoritesService.reorder` pattern exactly |
+| Delete tab → `DELETE /dashboard/tabs/:id` → assertOwnedDashboard → last-tab reject → transactional cascade delete + position renumber | — | tabs.tsx→store→api→service | ✓ WIRED | Confirmed by direct read of `deleteDashboard` |
+| Add widget → store passes `activeDashboardId` → `POST /dashboard/widgets` with tab id → ownership check | — | store→api→service | ✓ WIRED | Confirmed `addWidget` in store reads `activeDashboardId`, service calls `assertOwnedDashboard` first |
+| New `Dashboard` model with `tenantId` → `rls-coverage.spec.ts` requires ENABLE+Policy | — | migration→generic scanner | ✓ WIRED | Confirmed test passed in this verifier's own run (5/5), scanner is generic (parses schema+migrations dynamically, not hardcoded per table) |
+| `tenantPrisma.dashboard`/`tx.dashboard` → `rls-access-inventory.spec.ts` → classification doc entry | — | service→inventory scanner→doc | ✓ WIRED | Confirmed test passed (30/30 in this verifier's run); doc row present with `gebunden` status |
+
+### Data-Flow Trace (Level 4)
+
+| Artifact | Data Variable | Source | Produces Real Data | Status |
+|----------|---------------|--------|---------------------|--------|
+| `dashboard-tabs.tsx` `dashboards` prop | `useDashboardStore().dashboards` | `GET /dashboard/tabs` → Prisma query via `forTenant` | Yes | ✓ FLOWING |
+| `DashboardGrid` `layouts`/`widgets` props | store `layouts`/`widgets` | `GET /dashboard/layout`/`GET /dashboard/widgets` scoped by `activeDashboardId` | Yes | ✓ FLOWING |
+| Migration backfill counts (live DB) | `Dashboard`/`WidgetInstance`/`DashboardLayout` rows | Actual local Postgres container, re-queried by this verifier | Yes | ✓ FLOWING |
+
+### Behavioral Spot-Checks
+
+| Behavior | Command | Result | Status |
+|----------|---------|--------|--------|
+| API full test suite (not filtered) | `pnpm --filter @tessera/api test` | 1240 tests, 77 files, all passed | ✓ PASS |
+| Web full test suite (not filtered) | `pnpm --filter @tessera/web test` | 693 tests, 82 files, all passed | ✓ PASS |
+| `pnpm type-check` | `pnpm type-check` | 4/4 successful (cached) | ✓ PASS |
+| `pnpm lint` | `pnpm lint` | 5/5 successful, exactly 53 warnings in web | ✓ PASS |
+| Migration applied + no drift vs. live local DB | `prisma migrate diff --exit-code` | "No difference detected.", exit 0 | ✓ PASS |
+| Backfill correctness (live DB re-query) | `SELECT ... kacheln_ohne_reiter, anordnungen_ohne_reiter, reiter, reiter_nicht_an_position_null` | `0, 0, 2, 0` | ✓ PASS |
+| No new drag/DnD dependency | `git diff 84fe73e..HEAD -- apps/web/package.json apps/api/package.json` | empty diff | ✓ PASS |
+| Grid component untouched | `git diff 84fe73e..HEAD --stat -- apps/web/src/components/dashboard/` | only 2 new files (`dashboard-tabs.*`), `dashboard-grid.tsx` absent from diff | ✓ PASS |
+
+### Requirements Coverage
+
+This is a `/gsd-quick` task (no `.planning/REQUIREMENTS.md` entry expected/found for `QUICK-260923-AD9` — confirmed by grep, consistent with how quick tasks are tracked in this project).
+
+### Anti-Patterns Found
+
+No `TBD`/`FIXME`/`XXX`/`TODO`/`HACK`/`PLACEHOLDER` markers found in any of the core changed files
+(`dashboard.service.ts`, `dashboard.controller.ts`, `dashboard-store.ts`, `dashboard-tabs.tsx`,
+`migration.sql`). No stub patterns (`return null`/empty-return handlers/hardcoded-empty props) found in
+the reviewed files — every prop and returned value traces to a real query or real store state.
+
+**Minor observation (not a blocker):** the migration's backfill INSERT (step 3) uses `DISTINCT ON
+("userId")` to guarantee exactly one `Dashboard` row per user even in the theoretical "same user id,
+two tenant ids" case, exactly as the plan requires for that INSERT. However, the subsequent `UPDATE
+"WidgetInstance"`/`UPDATE "DashboardLayout"` backfill steps (4 and 5) join only on `d."userId" =
+wi."userId"`, not also on `tenantId` — in that same theoretical edge case, rows belonging to the
+"losing" tenant would be reassigned to the single `Dashboard` row's tenant. The plan's own task text
+explicitly scopes the dedup requirement ("Gegen den theoretischen Fall...") to the INSERT's row selection,
+and the live local database has no such multi-tenant-same-user rows (measured backfill: 2 dashboards for
+2 users with data, 0 orphans). This does not block the phase goal — it is a pre-existing, explicitly
+acknowledged theoretical edge case, not a regression — but is noted here for the record since it touches
+the "niemand verliert etwas" must-have's edge-case robustness, not its measured/observed correctness.
+
+### Human Verification Required
+
+1. **Browser-Rundgang (9 Punkte aus dem SUMMARY)**
+   **Test:** Anmelden und Dashboard öffnen; Reiter anlegen/wechseln/Kachel setzen; ungespeichert
+   wechseln; per Ziehen an die erste Stelle bringen und neu laden; umbenennen; löschen; letzten Reiter
+   prüfen; Raster gegenmessen (D-06: Kachel auf belegten Platz ziehen — bleibt am Ausgangsort).
+   **Expected:** Alle neun Punkte laufen wie im SUMMARY beschrieben.
+   **Why human:** Erfordert einen neu gebauten laufenden Container mit echtem Datenbestand und echte
+   Maus-Interaktion — Drag-and-Drop-Verhalten und visuelle Rasterreaktion lassen sich nicht per
+   Codeanalyse abschließend beurteilen, und laut Projektregel baut/startet der Nutzer die Container
+   selbst.
+
+### Gaps Summary
+
+None. Every must-have truth from the plan's frontmatter, plus the four explicit verification-focus
+points requested (migration completeness, fail-closed ownership, grid untouched, the three auto-fixed
+files), is backed by direct code reading and/or a freshly re-run, non-trusted measurement (full test
+suites, type-check, lint, live-DB migration diff, live-DB backfill re-query, git diff on package.json and
+on the dashboard components directory). All three "Rule 1/3" auto-fixed files documented in the SUMMARY
+were read directly and are correct, narrowly-scoped fixes that do not hide a gap — they were compile/test
+breakages caused by the new required `dashboardId` field, fixed with reasoning matching what SUMMARY
+claims. The only finding is the minor, pre-acknowledged theoretical edge case noted above under
+Anti-Patterns, which does not affect the phase goal as measured against the actual local database.
+
+---
+
+_Verified: 2026-09-23T08:30:00Z_
+_Verifier: Claude (gsd-verifier)_

.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-PLAN.md

@@ -0,0 +1,910 @@
+---
+phase: quick-260923-dhh
+plan: 01
+type: execute
+wave: 1
+depends_on: []
+autonomous: true
+requirements: [D-01, D-02, D-03, D-04, D-05, D-06, D-07, D-08, D-09, D-10, D-11]
+
+files_modified:
+  - apps/api/prisma/schema.prisma
+  - apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql
+  - apps/api/src/app.module.ts
+  - apps/api/src/proxmox/proxmox.types.ts
+  - apps/api/src/proxmox/proxmox-auth.ts
+  - apps/api/src/proxmox/proxmox-normalize.ts
+  - apps/api/src/proxmox/proxmox-client.service.ts
+  - apps/api/src/proxmox/proxmox.service.ts
+  - apps/api/src/proxmox/proxmox-scheduler.service.ts
+  - apps/api/src/proxmox/proxmox.controller.ts
+  - apps/api/src/proxmox/proxmox.module.ts
+  - apps/api/src/proxmox/proxmox.seed.ts
+  - apps/api/src/proxmox/dto/proxmox-server.dto.ts
+  - apps/api/src/proxmox/proxmox-client.service.spec.ts
+  - apps/api/src/proxmox/proxmox.service.spec.ts
+  - apps/api/src/proxmox/proxmox-normalize.spec.ts
+  - apps/api/src/proxmox/proxmox-scheduler.service.spec.ts
+  - apps/api/src/proxmox/proxmox-nur-lesen.spec.ts
+  - apps/api/src/prisma/rls-access-inventory.spec.ts
+  - apps/web/src/lib/proxmox-api.ts
+  - apps/web/src/lib/module-loader.ts
+  - apps/web/src/app/(portal)/modules/proxmox/layout.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/page.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/settings/page.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx
+  - apps/web/src/messages/de.json
+  - apps/web/src/messages/en.json
+  - docs/mandantentrennung-zugriffsklassifikation.md
+  - docs/anleitung-entwicklung.md
+  - docs/anwenderhandbuch.md
+
+user_setup:
+  - service: proxmox
+    why: "Nur der Nutzer hat echte PVE-/PBS-/PMG-Server. Ohne sie bleibt die Feldnamen-Annahme A2/A3 der Recherche unbestaetigt."
+    dashboard_config:
+      - task: "Je Produkt einen NUR-LESE-Zugang anlegen: PVE-Rolle PVEAuditor, PBS-Rolle Audit bzw. DatastoreAudit, PMG-Rolle Auditor"
+        location: "Proxmox-Oberflaeche -> Datacenter/Configuration -> Permissions"
+
+estimate:
+  tokens: 320000
+  raw_tokens: 210000
+  tasks: 7
+  confidence: low
+
+must_haves:
+  truths:
+    - "Kein Weg im gesamten Modul veraendert etwas bei Proxmox: die einzige Nicht-GET-Anfrage im ganzen Modul ist die Ticket-Anmeldung, und sie wird maschinell nachgezaehlt (D-01)."
+    - "Ein Administrator legt in den Einstellungen Server an (Name, Typ pve|pbs|pmg, Adresse, Zugang) und sieht die Zugangsdaten nie wieder im Klartext (D-02)."
+    - "PVE und PBS bieten API-Token ODER Benutzer/Passwort; PMG bietet nur Benutzer/Passwort — die Token-Felder erscheinen bei PMG gar nicht und ein Token-Zugang fuer PMG wird serverseitig abgelehnt (D-03)."
+    - "Zertifikatsfehler werden nur fuer die Server geduldet, bei denen der Administrator es einzeln eingeschaltet hat; Voreinstellung ist pruefen (D-04)."
+    - "Die Modulseite und jede Anzeige lesen ausschliesslich aus dem Zwischenlager, nie live bei Proxmox (D-05)."
+    - "Der Knopf Verbindung testen nennt die Ursache in Alltagssprache: nicht erreichbar, Zugang abgelehnt, Rechte reichen nicht, Zertifikat, unerwartete Antwort (D-06)."
+    - "Ein fehlendes, anders benanntes oder falsch typisiertes Feld einer Proxmox-Antwort fuehrt zu unbekannt in der Anzeige, nie zu einem Absturz, einer leeren Seite oder einem stillen Falschwert."
+    - "Ohne angelegten Server ist die Modulseite ruhig und erklaert, dass noch keiner eingetragen ist."
+    - "Beide neuen Tabellen tragen tenantId mit RLS-Policy; rls-coverage.spec.ts und rls-access-inventory.spec.ts bleiben gruen (D-08)."
+  artifacts:
+    - apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql
+    - apps/api/src/proxmox/proxmox-auth.ts
+    - apps/api/src/proxmox/proxmox-client.service.ts
+    - apps/api/src/proxmox/proxmox-normalize.ts
+    - apps/api/src/proxmox/proxmox-scheduler.service.ts
+    - apps/api/src/proxmox/proxmox-nur-lesen.spec.ts
+    - "apps/web/src/app/(portal)/modules/proxmox/page.tsx"
+    - "apps/web/src/app/(portal)/modules/proxmox/settings/page.tsx"
+  key_links:
+    - "proxmox-auth.ts ist die EINZIGE Stelle, die Kopfzeilen und Anmelde-Cookies je Produkt baut — Klient, Verbindungstest und Planer rufen sie, keiner baut sie nach (D-03)."
+    - "proxmox-client.service.ts baut den undici-Dispatcher je Aufruf aus dem Feld tlsRejectUnauthorized genau dieser Serverzeile (D-04)."
+    - "proxmox-scheduler.service.ts haengt an onApplicationBootstrap und faechert je Mandant auf; der Controller zieht nach jedem Speichern nach (D-05)."
+    - "proxmox.controller.ts traegt @UseModule('proxmox'); die Schreibwege zusaetzlich @Roles(ADMIN, SUPER_ADMIN) (D-09)."
+    - "Jeder Datenbankzugriff laeuft ueber forTenant(); nur der Startpfad des Planers ueber forSystem() und steht in FORSYSTEM_ALLOWED_CALL_SITES (D-08)."
+---
+
+<objective>
+Das Proxmox-Modul anbinden: PVE, PBS und PMG **nur beobachten**. Der Administrator legt in
+den Moduleinstellungen beliebig viele Server an (Name, Typ, Adresse, Zugang — verschluesselt
+gespeichert). Ein Hintergrunddienst fragt sie periodisch ab und legt die Messwerte in einem
+Zwischenlager ab. Die Modulseite zeigt die Serverliste mit Auslastung und liest dabei
+ausschliesslich aus dem Zwischenlager.
+
+Purpose: Der Nutzer sieht den Zustand seiner Proxmox-Landschaft in Tessera, ohne die
+Proxmox-Oberflaechen einzeln zu oeffnen — und ohne dass Tessera je etwas an ihnen aendern kann.
+
+Output: Ein vollstaendiges Modul `proxmox` (Datenbank, Dienst, API, Hintergrundabfrage,
+Einstellungsseite, Modulseite, Dokumentation), sieben eigenstaendige Commits.
+
+## Herkunft der Entscheidungen (D-Nummern)
+
+Die D-Nummern in diesem Plan verweisen auf die elf bereits getroffenen Entscheidungen aus dem
+Auftrag (`<decisions_already_made>`), in derselben Reihenfolge:
+
+| ID | Entscheidung |
+|---|---|
+| D-01 | Nur beobachten — kein veraendernder Weg gegen Proxmox |
+| D-02 | Administrator legt Server an; Zugangsdaten verschluesselt, nie im Klartext zurueck |
+| D-03 | PVE/PBS: Token oder Benutzer/Passwort; PMG nur Benutzer/Passwort; Kopfzeilen aus EINER Stelle |
+| D-04 | Zertifikatsfehler nur je Server umschaltbar dulden, nie global |
+| D-05 | Zwischenlager statt Live-Abfrage; Planer nach TENDER-Muster (`onApplicationBootstrap`) |
+| D-06 | Knopf „Verbindung testen" mit Klartext-Ursache |
+| D-07 | Keine neue npm-Abhaengigkeit — `undici` ist bereits da |
+| D-08 | Mandantentrennung Pflicht: `tenantId` + RLS + Klassifikationsdoku + gruene Waechter-Tests |
+| D-09 | Zugriff ueber die normale Modulfreigabe |
+| D-10 | Oberflaechentexte Deutsch in der Sie-Form ueber next-intl; Kommentare Deutsch |
+| D-11 | Dashboard-Kachel ist NICHT in diesem Auftrag |
+
+## Ausgangswerte der Tore (gemessen 2026-09-23, vor Beginn)
+
+| Tor | Ausgangswert |
+|---|---|
+| `pnpm --filter @tessera/api test` | 77 Dateien, 1240 Tests, alle gruen |
+| `pnpm --filter @tessera/web test` | 82 Dateien, 693 Tests, alle gruen |
+| `pnpm type-check` | 4 von 4 erfolgreich |
+| `pnpm lint` | 5 von 5 erfolgreich |
+| Biome-Warnungen in `apps/web` | genau 53 (253 Dateien geprueft) |
+
+Zielwert nach jeder Aufgabe: Testzahlen **groesser oder gleich** dem Ausgangswert und gruen,
+type-check 4/4, lint 5/5, Biome-Warnungen in `apps/web` **exakt 53** — nicht mehr, nicht weniger.
+
+## Ausdruecklich NICHT im Umfang
+
+Dashboard-Kachel (D-11, kommt als eigener Auftrag ueber `WIDGET_TYPES` /
+`WIDGET_MODULE_SLUGS` / `registerWidget`), Zeitreihen und Verlaufsgrafiken (`/rrddata`),
+Eingriffe jeder Art (Start, Stopp, Sichern, Freigeben), Quarantaene-Verwaltung bei PMG.
+</objective>
+
+<execution_context>
+@~/.claude/gsd-core/workflows/execute-plan.md
+@~/.claude/gsd-core/templates/summary.md
+</execution_context>
+
+<context>
+@.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-RESEARCH.md
+@.planning/STATE.md
+@CLAUDE.md
+
+Bestandsmuster, die dieser Plan wortgetreu wiederverwendet (vor der jeweiligen Aufgabe lesen,
+nicht raten):
+
+@apps/api/src/favorites/icon-discovery.service.ts
+@apps/api/src/ldap/ldap-config.service.ts
+@apps/api/src/dkv/dkv-scheduler.service.ts
+@apps/api/src/tenders/tender-scheduler.service.ts
+@apps/api/src/domaincheck/domaincheck.module.ts
+@apps/api/src/prisma/prisma-tenant.extension.ts
+</context>
+
+<interface_context>
+Signaturen und Konstanten, auf die jede Aufgabe aufsetzt — so gemessen im Bestand, nicht erfunden:
+
+- `CryptoService` (`apps/api/src/crypto/crypto.service.ts`): `encrypt(plaintext: string): string`
+  und `decrypt(stored: string): string`. Format `iv:authTag:ciphertext`, alles hex,
+  Doppelpunkt-getrennt. `CryptoModule` steht bereits in `app.module.ts`.
+- Erkennungsform fuer „schon verschluesselt" (`ldap-config.service.ts:17`):
+  `/^[0-9a-f]+:[0-9a-f]+:[0-9a-f]*$/i`.
+- `forTenant(prisma, tenantId, userId?)` und `forSystem(prisma)` aus
+  `apps/api/src/prisma/prisma-tenant.extension.ts`. Konvention: lokale Konstante
+  `const tenantPrisma = forTenant(this.prisma, tenantId);` — keine andere Form, sonst schlaegt
+  `rls-access-inventory.spec.ts` fehl.
+- `undici`: `import { Agent, fetch as undiciFetch } from 'undici'`. Nodes globales `fetch`
+  ignoriert einen `Agent` aus dem npm-Paket (gemessen, `icon-discovery.service.ts:33-37`).
+- `@UseModule(slug)` aus `apps/api/src/module-registry/module.guard.ts`,
+  `@Roles(Role.ADMIN, Role.SUPER_ADMIN)` aus `apps/api/src/auth/decorators/roles.decorator.ts`.
+- `ModuleRegistryService.seedModule({ slug, name, version, category, description: {de, en}, isSystem })`
+  — Vorlage `apps/api/src/domaincheck/domaincheck.seed.ts`.
+- `CronJobClass` wird per `require('cron').CronJob` aufgeloest (pnpm-Isolation, Kommentar in
+  `dkv-scheduler.service.ts:6-16` woertlich uebernehmen).
+- RLS-Policy-Form ohne Benutzerdimension (`20260909140000`, DkvModuleConfig):
+  `CREATE POLICY tenant_isolation_policy ON "X" USING ("tenantId" = current_tenant_id());`
+- Systemlese-Form (`20260914120000`):
+  `CREATE POLICY system_read_policy ON "X" FOR SELECT USING (is_system_context());`
+- Frontend-Datenzugriff: ein Helfer `apps/web/src/lib/<modul>-api.ts` (Vorbild `dkv-api.ts`),
+  `API_URL` aus `process.env.NEXT_PUBLIC_API_URL`, `credentials: 'include'`.
+- Modulseiten liegen unter `apps/web/src/app/(portal)/modules/<slug>/`, `layout.tsx` umschliesst
+  mit `<ModuleAccessGate moduleSlug="<slug>">`, Eintrag in `MODULE_REGISTRY`
+  (`apps/web/src/lib/module-loader.ts`).
+</interface_context>
+
+<tasks>
+
+<task type="tracer">
+  <name>Aufgabe 1: Ein PVE-Server per Token — von der Tabelle bis zur Modulseite</name>
+  <files>
+apps/api/prisma/schema.prisma,
+apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql,
+apps/api/src/proxmox/proxmox.types.ts,
+apps/api/src/proxmox/proxmox-auth.ts,
+apps/api/src/proxmox/proxmox-client.service.ts,
+apps/api/src/proxmox/proxmox.service.ts,
+apps/api/src/proxmox/proxmox.controller.ts,
+apps/api/src/proxmox/proxmox.module.ts,
+apps/api/src/proxmox/proxmox.seed.ts,
+apps/api/src/proxmox/dto/proxmox-server.dto.ts,
+apps/api/src/proxmox/proxmox.service.spec.ts,
+apps/api/src/app.module.ts,
+apps/web/src/lib/proxmox-api.ts,
+apps/web/src/lib/module-loader.ts,
+apps/web/src/app/(portal)/modules/proxmox/layout.tsx,
+apps/web/src/app/(portal)/modules/proxmox/page.tsx,
+apps/web/src/messages/de.json,
+apps/web/src/messages/en.json,
+docs/mandantentrennung-zugriffsklassifikation.md
+  </files>
+  <precondition>
+`TESSERA_ENCRYPTION_KEY` ist gesetzt (64 Hex-Zeichen) und die Entwicklungsdatenbank ist vom
+Host erreichbar — sonst scheitert `prisma migrate dev`. Erreichbarkeit siehe
+`docs/anleitung-entwicklung.md`, Abschnitt „Datenbank vom Host erreichen"; die Datenbank hat
+keinen Host-Port, der Zugriff laeuft ueber die Container-IP mit `tessera:tessera_dev`.
+  </precondition>
+  <action>
+Duenner, aber durchgehender Schnitt durch ALLE Schichten, die dieses Modul anfasst — genau EIN
+Weg: ein PVE-Server, Zugang per API-Token, vom Anlegen ueber die Abfrage und das Zwischenlager
+bis zur Anzeige im Browser. Kein PBS, kein PMG, kein Benutzer/Passwort, kein Planer, keine
+Einstellungsoberflaeche, kein Bearbeiten oder Loeschen — das bauen die Aufgaben 2 bis 6 auf
+diesem bewiesenen Geruest auf. Was hier entsteht, ist Endstand, kein Wegwerfstueck: dieselbe
+Fehlerbehandlung, dieselbe Mandantenbindung, dieselben Tore wie jede spaetere Aufgabe.
+
+**Schema** (`schema.prisma`) — zwei Modelle nach dem Vorbild `CalendarSource` (mehrere
+verschluesselte Fremdzugaenge je Mandant), NICHT nach `DkvModuleConfig` (Singleton je Mandant):
+
+`ProxmoxServer`: `id` (uuid), `tenantId`, `name`, `productType` (Zeichenkette `pve|pbs|pmg`,
+kommentiert wie `CalendarSource.type`), `baseUrl`, `authMethod` (`token|password`), `tokenId`
+(nullable), `encryptedTokenSecret` (nullable, Kommentar „AES-256-GCM ciphertext
+(iv:authTag:ciphertext hex)" wie `CalendarSource.encryptedPassword`), `username` (nullable),
+`encryptedPassword` (nullable), `tlsRejectUnauthorized Boolean @default(true)` (Feldname
+woertlich von `LdapConfig`, D-04), `isActive Boolean @default(true)`,
+`pollIntervalMin Int @default(5)`, `position Int @default(0)`, `createdAt`, `updatedAt`,
+Relation `status ProxmoxServerStatus?`, `@@index([tenantId])`.
+
+`ProxmoxServerStatus`: `id`, `serverId String @unique` mit Relation auf `ProxmoxServer`
+(`onDelete: Cascade`), `tenantId`, `lastPolledAt DateTime?`, `lastOkAt DateTime?`,
+`reachable Boolean @default(false)`, `errorKind String?`, `errorDetail String?`,
+`metrics Json?` (normalisierte Messwerte), `rawSample Json?` (gekuerzte Rohantwort zur
+Fehlersuche beim Nutzer), `updatedAt`, `@@index([tenantId])`.
+
+**Migration** (`20260923140000_proxmox_server/migration.sql`) — von Hand geschrieben nach dem
+Vorbild `20260923120000_dashboard_tabs`: deutscher Kopfkommentar, der Zweck und die
+Entscheidungen benennt. Beide Tabellen mit `ENABLE`/`FORCE ROW LEVEL SECURITY` und
+`tenant_isolation_policy` in der Form OHNE Benutzerdimension
+(`USING ("tenantId" = current_tenant_id())`, Vorbild `DkvModuleConfig`) — Proxmox-Server sind
+Verwaltungsdaten des Mandanten, nicht persoenliche Daten eines Benutzers. Zusaetzlich auf
+`ProxmoxServer` (und NUR dort) `system_read_policy … FOR SELECT USING (is_system_context())`
+mit der Begruendung im Kommentar, dass der Planer aus Aufgabe 4 beim Start die aktiven Server
+ALLER Mandanten sehen muss; `ProxmoxServerStatus` bekommt sie bewusst nicht, weil dort nur je
+Mandant gebunden geschrieben wird. Indizes auf `tenantId` sowie `serverId` (unique). Rechte
+fuer `tessera_app` kommen automatisch ueber `ALTER DEFAULT PRIVILEGES` aus
+`20260909130000_rls_app_role` — im Kommentar erwaehnen, nichts tun.
+
+**`proxmox.types.ts`** — die gemeinsamen Typen: `ProxmoxProductType = 'pve' | 'pbs' | 'pmg'`,
+`ProxmoxAuthMethod = 'token' | 'password'`, `ProxmoxErrorKind =
+'netz' | 'zugang' | 'rechte' | 'zertifikat' | 'antwortform' | 'server' | 'unbekannt'` (diese
+sieben Werte landen so in der Datenbank und werden erst im Frontend uebersetzt — stabile
+Schluessel, uebersetzbarer Text), und die Ergebnisform `ProxmoxPollResult` mit
+`{ reachable, errorKind, errorDetail, metrics, rawSample }`.
+
+**`proxmox-auth.ts`** — die EINZIGE Stelle im ganzen Modul, die Anmeldeinformationen in
+Kopfzeilen uebersetzt (D-03, key_link). In dieser Aufgabe nur der Token-Zweig: eine reine
+Funktion `buildTokenAuthHeader(productType, tokenId, tokenSecret)`, die fuer `pve` das Schema
+`PVEAPIToken` mit Gleichheitszeichen vor dem Geheimnis und fuer `pbs` das Schema `PBSAPIToken`
+mit Doppelpunkt vor dem Geheimnis liefert (Recherche, Block 1) und fuer `pmg` einen Fehler
+wirft, weil PMG keine Token kennt. Die Funktion nimmt Klartext entgegen und gibt nur die
+Kopfzeile zurueck — sie protokolliert nie, sie wirft das Geheimnis nie in eine Fehlermeldung.
+
+**`proxmox-client.service.ts`** — der HTTP-Zugang, und ausschliesslich lesend (D-01).
+Genau EINE oeffentliche Datenabruf-Funktion `proxmoxGet(server, path)`, die das
+Anfrageverfahren fest auf Lesen setzt (kein Parameter dafuer, kein Durchreichen von aussen).
+Zwingend `undiciFetch` aus dem `undici`-Paket, nicht das globale `fetch` — sonst wird der
+Dispatcher stillschweigend ignoriert (gemessen, `icon-discovery.service.ts:33-37`); diesen
+Grund als deutschen Kommentar in die Datei schreiben. Der Dispatcher wird JE AUFRUF aus der
+gelesenen Serverzeile gebaut: ist `tlsRejectUnauthorized` wahr, wird kein Dispatcher
+uebergeben (Normalweg, echte Pruefung); ist es falsch, ein frischer
+`new Agent({ connect: { rejectUnauthorized: false } })` nur fuer diesen einen Aufruf (D-04).
+Ausdruecklich KEINE Modulkonstante wie in `icon-discovery.service.ts` und ausdruecklich keine
+Node-Umgebungsvariable — beides als Kommentar festhalten. Abbruch nach 8 Sekunden ueber
+`AbortController`. Keine SSRF-Adresspruefung wie `isPublicHttpUrl`: Proxmox-Server stehen
+per Definition im privaten Netz, eine solche Pruefung wuerde jede reale Adresse blockieren;
+die Absicherung ist stattdessen, dass nur ein Administrator Adressen eintragen darf (siehe
+Bedrohungsmodell T-DHH-02). Rueckgabe ist ein Ergebnisobjekt mit `ok`, `status`, `body` und
+`errorKind` — geworfen wird nichts nach aussen; Netzfehler und Zertifikatsfehler werden
+abgefangen und in `errorKind` uebersetzt.
+
+**`proxmox.service.ts`** — die Fachlogik, jeder Datenbankzugriff ueber
+`const tenantPrisma = forTenant(this.prisma, tenantId);` (Konvention woertlich, D-08):
+`createServer(tenantId, dto)` verschluesselt das Token-Geheimnis mit `this.crypto.encrypt(...)`
+und legt Server plus leere Zwischenlagerzeile an; `listWithStatus(tenantId)` liefert Server
+samt Zwischenlager OHNE jedes Geheimnisfeld (`select` ohne `encryptedTokenSecret` und
+`encryptedPassword`, nicht nachtraeglich maskiert — die Felder verlassen die Datenbank gar
+nicht erst); `pollServer(tenantId, serverId)` entschluesselt in genau EINER privaten Methode
+`decryptSecret(stored)` nach dem Vorbild `LdapConfigService.decryptBindPassword` (Form
+erkennen, unveraenderte Altwerte durchreichen), ruft fuer `pve` den Pfad
+`/api2/json/cluster/resources`, normalisiert das Ergebnis und schreibt es ins Zwischenlager.
+In dieser Aufgabe nur PVE und nur eine Grundauswertung: Anzahl Knoten, Anzahl laufender und
+gestoppter Gaeste, und je Knoten `cpu`/`maxcpu`/`mem`/`maxmem` — jeder Einzelwert nachsichtig
+gelesen (fehlt er, steht `null` im Zwischenlager und spaeter „unbekannt" in der Anzeige, nie
+ein Absturz und nie eine 0, die wie ein Messwert aussieht). Die Rohantwort wird auf hoechstens
+20 000 Zeichen gekuerzt in `rawSample` abgelegt, damit der Nutzer beim Testen an seinen echten
+Servern sieht, was tatsaechlich kam.
+
+**`proxmox.controller.ts`** — `@Controller('modules/proxmox')` und `@UseModule('proxmox')` auf
+Klassenebene (D-09, Vorbild `domaincheck.controller.ts`). Drei Wege: `GET servers` (Liste mit
+Zwischenlager, fuer jeden Benutzer mit Modulzugriff), `POST servers` und
+`POST servers/:id/poll` — beide Schreibwege zusaetzlich mit
+`@Roles(Role.ADMIN, Role.SUPER_ADMIN)`. `tenantId` kommt ausschliesslich aus `req.tenantId`,
+nie aus Body oder Query.
+
+**`dto/proxmox-server.dto.ts`** — `class-validator`: `name` nicht leer, `productType` per
+`@IsIn(['pve','pbs','pmg'])`, `baseUrl` per `@IsUrl({ protocols: ['http','https'], require_tld: false })`
+(ohne `require_tld`, weil interne Namen wie `pve.intern` sonst abgelehnt wuerden),
+`authMethod` per `@IsIn(['token','password'])`, `tlsRejectUnauthorized` optional boolesch,
+`pollIntervalMin` als Ganzzahl zwischen 1 und 1440.
+
+**`proxmox.module.ts` / `proxmox.seed.ts` / `app.module.ts`** — Vorbild Domaincheck:
+`seedProxmoxModule` mit `slug: 'proxmox'`, `name: 'Proxmox'`, `version: '1.0.0'`,
+`category: 'infrastructure'`, deutscher und englischer Beschreibung, `isSystem: true`;
+`ProxmoxModule` importiert `ModuleRegistryModule` und ruft den Seed in `onModuleInit`;
+Eintrag in `app.module.ts` unter `imports` hinter `BugReportsModule`.
+
+**Frontend** — `apps/web/src/lib/proxmox-api.ts` nach dem Vorbild `dkv-api.ts`
+(`listServers()`); `modules/proxmox/layout.tsx` mit
+`<ModuleAccessGate moduleSlug="proxmox">`; `modules/proxmox/page.tsx` als Client-Komponente,
+die die Serverliste laedt und je Server Name, Typ, Adresse und die vorhandenen Messwerte
+anzeigt — fehlende Werte als „unbekannt", bei leerer Liste ein ruhiger Hinweis, dass noch kein
+Server eingetragen ist (kein Fehlergewitter, keine weisse Flaeche); Eintrag `proxmox` in
+`MODULE_REGISTRY` (`module-loader.ts`). Alle sichtbaren Texte ueber `useTranslations('proxmox')`
+mit neuen Schluesseln in `de.json` UND `en.json` — deutsche Texte in der Sie-Form (D-10).
+
+**Doku** — in `docs/mandantentrennung-zugriffsklassifikation.md` die neuen Fundstellen als
+Tabellenzeilen im Format `| Datei | Modell | Klasse | Stand | Begruendung |` eintragen
+(`apps/api/src/proxmox/proxmox.service.ts` / `proxmoxServer` und `proxmoxServerStatus`, Klasse
+`muss-mandantengebunden`, Stand `gebunden`), sonst schlaegt `rls-access-inventory.spec.ts` fehl.
+Die Bereichs- und Summenzeilen mit der Gate-Schleife NACHMESSEN, nicht abschreiben.
+
+Deutsche Kommentare im Code wie in den Nachbardateien (D-10). Keine neue npm-Abhaengigkeit
+(D-07) — `undici` steht bereits als direkte Abhaengigkeit in `apps/api/package.json`.
+  </action>
+  <verify>
+    <automated>pnpm --filter @tessera/api exec vitest run src/proxmox src/prisma/rls-coverage.spec.ts src/prisma/rls-access-inventory.spec.ts</automated>
+    <automated>pnpm --filter @tessera/api test</automated>
+    <automated>pnpm --filter @tessera/web test</automated>
+    <automated>pnpm type-check</automated>
+  </verify>
+  <done>
+`proxmox.service.spec.ts` fuehrt den ganzen Weg mit einer gefaelschten `undici`-Antwort durch
+(Vorbild der Attrappe: `icon-discovery.service.spec.ts`, `vi.mock('undici', …)`): Server
+anlegen, abfragen, Zwischenlager gelesen — und weist nach, dass (a) das Geheimnis
+verschluesselt in der Datenbank steht und in der Antwort von `listWithStatus` ueberhaupt nicht
+vorkommt, (b) bei `tlsRejectUnauthorized: true` KEIN Dispatcher uebergeben wird und bei
+`false` genau einer mit abgeschalteter Pruefung, (c) ein fehlendes Feld der Antwort zu `null`
+fuehrt und nicht zu einem Wurf. `pnpm --filter @tessera/api test` gruen mit mindestens 1240
+Tests, `pnpm --filter @tessera/web test` gruen mit mindestens 693 Tests, `pnpm type-check`
+4 von 4. Im Browser ist `/modules/infrastructure/proxmox` erreichbar und zeigt bei leerer
+Liste den ruhigen Hinweis.
+  </done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 2: Zugang per Benutzer/Passwort, Fehler in Alltagssprache, Beobachtungs-Riegel</name>
+  <files>
+apps/api/src/proxmox/proxmox-auth.ts,
+apps/api/src/proxmox/proxmox-client.service.ts,
+apps/api/src/proxmox/proxmox.service.ts,
+apps/api/src/proxmox/dto/proxmox-server.dto.ts,
+apps/api/src/proxmox/proxmox-client.service.spec.ts,
+apps/api/src/proxmox/proxmox-nur-lesen.spec.ts
+  </files>
+  <behavior>
+- Ticket-Anmeldung: `POST /api2/json/access/ticket` mit `username`/`password` als Formularfeldern liefert `data.ticket`; Folgeanfragen tragen das Ticket als Cookie mit produktabhaengigem Namen (`PVEAuthCookie`, `PBSAuthCookie`, `PMGAuthCookie`).
+- Kein `CSRFPreventionToken` wird jemals mitgesendet — dieses Modul liest nur, und fuer Leseanfragen verlangt Proxmox ihn laut offizieller Doku nicht.
+- Ein Server vom Typ `pmg` mit `authMethod: 'token'` wird beim Anlegen und beim Bearbeiten mit einer deutschen Klartextmeldung abgelehnt (400), nicht erst beim Abfragen.
+- Antwortstatus 401 wird zu `errorKind: 'zugang'`, 403 zu `'rechte'`, 404 zu `'antwortform'` mit dem Hinweis auf eine falsche Adresse, 5xx zu `'server'`.
+- Ein geworfener Netzfehler ohne Antwort (Verbindung verweigert, Zeitablauf, Name nicht aufloesbar) wird zu `errorKind: 'netz'`.
+- Ein Zertifikatsfehler (Meldungstext enthaelt eine der bekannten Zertifikatskennungen) wird zu `errorKind: 'zertifikat'` und NICHT zu `'netz'`.
+- Eine Antwort, die kein JSON ist (HTML-Anmeldeseite, leerer Rumpf), wird zu `errorKind: 'antwortform'` — kein geworfener Parserfehler, kein Absturz.
+- Laeuft ein Ticket ab (401 bei `authMethod: 'password'`), wird GENAU EINMAL neu angemeldet und die Abfrage wiederholt; erst ein zweites 401 wird zu `errorKind: 'zugang'`.
+- Keine Fehlermeldung, kein Protokolleintrag und kein `rawSample` enthaelt jemals Passwort, Token-Geheimnis oder das Ticket.
+- Im gesamten Verzeichnis `apps/api/src/proxmox` gibt es ausserhalb der Ticket-Anmeldung keine einzige Stelle, die ein anderes Anfrageverfahren als Lesen an Proxmox schickt.
+  </behavior>
+  <action>
+Zuerst die Tests aus `<behavior>` in `proxmox-client.service.spec.ts` schreiben (rot), dann
+implementieren. Die `undici`-Attrappe wie in `icon-discovery.service.spec.ts`.
+
+`proxmox-auth.ts` waechst um den Ticket-Zweig und bleibt dabei die EINZIGE Stelle, die
+Kopfzeilen und Cookies baut (D-03, key_link): `buildTokenAuthHeader` wie in Aufgabe 1, neu
+`loginTicket(server, password)` und `buildTicketCookieHeader(productType, ticket)`. Die
+Cookie-Namen je Produkt stehen als benannte Konstante in dieser einen Datei, mit deutschem
+Kommentar, dass die Namen fuer PBS und PMG aus der Recherche nur abgeleitet sind (Annahme A2)
+und der Nutzer sie an seinen echten Servern bestaetigt — steht dort ein anderer Name, ist es
+genau diese eine Konstante, die angepasst wird.
+
+`loginTicket` ist die EINZIGE Stelle im Modul, die eine nicht-lesende Anfrage an Proxmox
+schickt, und sie aendert dort nichts — sie holt nur einen Nachweis ab (D-01). Diesen
+Sonderstatus als deutschen Kommentar in der Datei festhalten.
+
+`proxmox-client.service.ts` bekommt die Fehler-Uebersetzung: eine reine Funktion
+`classifyFailure(status, thrownError)`, die genau die sieben Werte aus `ProxmoxErrorKind`
+liefert, und eine Funktion `parseJsonLenient(text)`, die bei nicht-JSON kein Werfen zulaesst
+sondern das Scheitern meldet. Die Zertifikatserkennung laeuft ueber die bekannten
+Fehlerkennungen von Node/undici (selbstsigniert, abgelaufen, Name passt nicht, unbekannter
+Aussteller) — im Zweifel `'zertifikat'` nur bei eindeutigem Treffer, sonst `'netz'`.
+Zusaetzlich `errorDetail` als KURZE, deutsche Ergaenzung (Statuszahl, Fehlerkennung), aus der
+niemals ein Geheimnis hervorgeht; die Weiterverarbeitung des `errors`-Feldes der Proxmox-Antwort
+ist erlaubt, aber gekuerzt auf 500 Zeichen.
+
+Die Ticket-Erneuerung sitzt in `proxmox.service.ts` (nicht im Klienten): ein Zaehler, der genau
+einen zweiten Versuch erlaubt. Der Grund als Kommentar: bei Ticketdauer von zwei Stunden
+erzeugt ein normaler Ablauf sonst alle zwei Stunden einen Fehlalarm.
+
+`dto/proxmox-server.dto.ts` bekommt die produktabhaengige Pruefung (PMG plus Token ist
+ungueltig) — Pflichtfelder je nach `authMethod` mit `@ValidateIf`, damit ein Token-Zugang
+`tokenId` und Geheimnis verlangt und ein Passwort-Zugang `username` und Passwort.
+
+`proxmox-nur-lesen.spec.ts` ist der maschinelle Riegel zu D-01, gebaut nach dem Vorbild von
+`apps/api/src/prisma/rls-access-inventory.spec.ts` (Test liest den Quelltext, nicht das
+Laufzeitverhalten): er liest alle `.ts`-Dateien unter `apps/api/src/proxmox`, entfernt vor
+dem Zaehlen Kommentarzeilen und Zeichenkettenliterale aus Testdateien, und prueft zwei
+Aussagen — erstens, dass die Summe der Stellen, die ein Anfrageverfahren an `undiciFetch`
+uebergeben, genau EINS ist und in `proxmox-auth.ts` liegt; zweitens, dass jeder gegen einen
+Proxmox-Pfad gebaute Aufruf ausser dieser einen ueber `proxmoxGet` laeuft. Die erwartete Zahl
+steht als benannte Konstante mit ausgeschriebener Begruendung in der Testdatei, damit eine
+spaetere Erhoehung eine bewusste Entscheidung erzwingt und nicht unbemerkt durchrutscht.
+  </action>
+  <verify>
+    <automated>pnpm --filter @tessera/api exec vitest run src/proxmox</automated>
+    <automated>pnpm --filter @tessera/api test</automated>
+    <automated>pnpm type-check</automated>
+  </verify>
+  <done>
+Alle Punkte aus `<behavior>` sind je durch mindestens einen Test belegt.
+`proxmox-nur-lesen.spec.ts` ist gruen und wuerde rot, wenn irgendwo im Modul eine zweite
+nicht-lesende Anfrage an Proxmox entstuende. `pnpm --filter @tessera/api test` gruen mit
+mindestens 1240 Tests, `pnpm type-check` 4 von 4.
+  </done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 3: PBS und PMG auswerten — nachsichtig gegen jede Antwortform</name>
+  <files>
+apps/api/src/proxmox/proxmox-normalize.ts,
+apps/api/src/proxmox/proxmox.service.ts,
+apps/api/src/proxmox/proxmox.types.ts,
+apps/api/src/proxmox/proxmox-normalize.spec.ts
+  </files>
+  <behavior>
+- PVE: aus `/api2/json/cluster/resources` entstehen Knotenzahl, Zahl laufender und gestoppter Gaeste, je Knoten Prozessorlast und Speicherbelegung, je Speicherort Belegung.
+- PBS: aus `/api2/json/status/datastore-usage` entsteht je Datenspeicher Gesamt, Belegt, Frei; aus `/api2/json/admin/datastore/{store}/snapshots` je Datenspeicher der Zeitpunkt der letzten Sicherung und das Ergebnis der letzten Pruefung.
+- PMG: aus `/api2/json/statistics/mail` entstehen die Tageszahlen eingehend, ausgehend, Spam, Viren.
+- Fehlt ein erwartetes Feld vollstaendig, ist der Einzelwert `null` — nie `0`, nie `NaN`, nie ein Wurf.
+- Kommt eine Zahl als Zeichenkette (`"42"`, `"0.37"`), wird sie als Zahl gelesen; kommt sie als nicht umwandelbarer Text, ist der Wert `null`.
+- Ist die gesamte Antwort eine Zeichenkette, ein Array statt eines Objekts, `null` oder leer, entsteht ein leeres Messwertobjekt mit `errorKind: 'antwortform'` — nie ein Wurf.
+- Heisst ein Feld anders als erwartet, bleibt der zugehoerige Einzelwert `null` und die gekuerzte Rohantwort bleibt in `rawSample` erhalten, damit der Nutzer am echten Server erkennt, wie das Feld wirklich heisst.
+- Ein Datenspeicher ohne Sicherungen ergibt „noch keine Sicherung" und keinen Fehler.
+- Ein PBS-Server mit vielen Datenspeichern erzeugt hoechstens 10 Folgeabfragen je Durchlauf.
+  </behavior>
+  <action>
+Zuerst `proxmox-normalize.spec.ts` schreiben (rot), mit ERFUNDENEN Antworten in der von der
+Recherche dokumentierten Form — es gibt in dieser Umgebung keinen echten Proxmox-Server, und
+es wird auch keiner angefragt. Je Punkt aus `<behavior>` mindestens ein Fall, und zusaetzlich
+je Produkt ein Fall „Feld fehlt", „Zahl kommt als Zeichenkette" und „Antwort ist HTML statt
+JSON".
+
+`proxmox-normalize.ts` traegt die nachsichtigen Leser als reine Funktionen ohne
+Datenbankbezug: `readNumber(value)` (Zahl, umwandelbare Zeichenkette, sonst `null`),
+`readText(value)`, `readBool(value)` und `readList(value)` (liefert bei allem, was kein Array
+ist, eine leere Liste). Darauf setzen `normalizePve(body)`, `normalizePbs(usage, snapshots)`
+und `normalizePmg(body)` auf. Keine dieser Funktionen wirft jemals — der gesamte Umgang mit
+einer unerwarteten Form ist ein Rueckgabewert, nicht eine Ausnahme; als deutscher Kommentar
+festhalten, warum: der Nutzer prueft dieses Modul allein an seinen echten Servern, und ein Wurf
+wuerde ihm eine leere Seite statt eines Hinweises zeigen.
+
+Die Feldnamen von PBS und PMG sind aus der Recherche nur abgeleitet (Annahmen A2, A3, A5). In
+`proxmox-normalize.ts` je Produkt eine benannte Konstante mit den erwarteten Feldnamen und
+einem deutschen Kommentar, dass genau diese Liste anzupassen ist, falls der echte Server
+andere Namen liefert — dadurch gibt es EINE Stelle zum Nachziehen statt verstreuter
+Zeichenketten im Auswertungscode. Wo ein Feld unter mehreren plausiblen Namen auftreten kann,
+darf die Konstante mehrere Namen in Reihenfolge nennen, und der Leser nimmt den ersten
+vorhandenen.
+
+`proxmox.service.ts` waechst um die produktabhaengige Abfragefolge: `pve` eine Abfrage, `pbs`
+die Belegungsabfrage plus je Datenspeicher hoechstens zehn Folgeabfragen (Deckel als benannte
+Konstante mit Begruendung), `pmg` eine Abfrage. Jede dieser Abfragen laeuft ueber `proxmoxGet`
+— keine neue Aufrufform (Riegel aus Aufgabe 2 bleibt gruen). Das Zwischenlager bekommt je
+Produkt seine Messwertform; `ProxmoxMetrics` in `proxmox.types.ts` als unterscheidbare Union
+ueber `productType`, damit das Frontend typsicher verzweigen kann.
+  </action>
+  <verify>
+    <automated>pnpm --filter @tessera/api exec vitest run src/proxmox</automated>
+    <automated>pnpm --filter @tessera/api test</automated>
+    <automated>pnpm type-check</automated>
+  </verify>
+  <done>
+Alle Punkte aus `<behavior>` sind je durch mindestens einen Test belegt, einschliesslich der
+vier ausdruecklich verlangten Fehlformen (Feld fehlt, Zahl als Zeichenkette, HTML statt JSON,
+Statuscodes 401/403/404/500 — Letztere aus Aufgabe 2 weiterhin gruen).
+`proxmox-nur-lesen.spec.ts` bleibt gruen. `pnpm --filter @tessera/api test` gruen mit
+mindestens 1240 Tests, `pnpm type-check` 4 von 4.
+  </done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 4: Hintergrundabfrage je Mandant und der Knopf „Verbindung testen"</name>
+  <files>
+apps/api/src/proxmox/proxmox-scheduler.service.ts,
+apps/api/src/proxmox/proxmox.service.ts,
+apps/api/src/proxmox/proxmox.controller.ts,
+apps/api/src/proxmox/proxmox.module.ts,
+apps/api/src/proxmox/proxmox-scheduler.service.spec.ts,
+apps/api/src/prisma/rls-access-inventory.spec.ts,
+docs/mandantentrennung-zugriffsklassifikation.md
+  </files>
+  <behavior>
+- Beim Start registriert der Planer je Mandant mit mindestens einem aktiven Server genau einen Auftrag unter dem Registry-Namen `proxmox-poll:<tenantId>`.
+- Der Tick eines Mandanten geht ueber dessen Server und fragt jeden einzeln ab; ein fehlgeschlagener Server bricht die Schleife nicht ab.
+- Ein zweiter Mandant verdraengt den Auftrag des ersten nicht — beide Auftraege bestehen nebeneinander.
+- Keine aktiven Server bedeutet: kein Auftrag, ein Protokolleintrag, kein Fehler, nichts geloescht.
+- Nach dem Speichern eines Servers zieht der Controller den Auftrag dieses Mandanten sofort nach — ohne Neustart.
+- Der Planer haengt an `onApplicationBootstrap`, nicht an `onModuleInit`.
+- Ein Fehler beim Start wird gefangen und protokolliert, nie weitergeworfen — die Anwendung startet trotzdem.
+- `POST servers/:id/test` liefert bei Erfolg eine Erfolgsmeldung und bei Misserfolg genau einen der sieben Fehlerschluessel samt kurzer Ergaenzung, ohne den Zwischenlagerstand zu ueberschreiben.
+- `POST servers/:id/poll` verweigert einen zweiten Durchlauf innerhalb von zehn Sekunden und liefert stattdessen den vorhandenen Zwischenlagerstand.
+  </behavior>
+  <action>
+Zuerst `proxmox-scheduler.service.spec.ts` schreiben (rot) — Vorbild
+`dkv-scheduler.service.spec.ts`, je Aussage aus `<behavior>` ein Test.
+
+`proxmox-scheduler.service.ts` kombiniert die zwei Bestandsmuster (Recherche, Block 3): das
+Mandanten-Auffaechern von `DkvSchedulerService` (ein Auftrag je Mandant, Registry-Name mit
+Mandantenkennung als Suffix — die Vorgaengerform mit EINEM Auftragsfeld war genau der Fehler
+WINDOWS #21) und die Lebenszyklus-Stufe von `TenderSchedulerService`
+(`implements OnApplicationBootstrap`). Den Grund fuer `onApplicationBootstrap` als deutschen
+Kommentar uebernehmen: die Reihenfolge der `onModuleInit`-Haken zwischen Modulen ist nicht
+festgelegt, und die Erfahrung „frische Datenbank ingestiert nichts bis zum zweiten Neustart"
+steht bereits im Projektgedaechtnis. Die Aufloesung von `CronJob` ueber `require('cron')`
+samt Kommentar woertlich aus `dkv-scheduler.service.ts` uebernehmen (pnpm-Isolation).
+
+Anders als bei DKV ist ein Mandant NICHT gleich ein Server: der Tick eines Mandanten geht ueber
+dessen Serverzeilen. Das Abfrageintervall eines Mandanten ist das kleinste `pollIntervalMin`
+seiner aktiven Server. Ein fehlgeschlagener Server schreibt seinen Fehler ins Zwischenlager
+und die Schleife laeuft weiter — dieser Punkt ausdruecklich als Test.
+
+Der Startpfad `loadActiveServersForScheduler()` in `proxmox.service.ts` ist der EINZIGE
+Systemkontext-Aufruf des Moduls: `const systemPrisma = forSystem(this.prisma);`, nur lesend,
+ohne `include` auf das Zwischenlager (die Zwischenlagertabelle hat bewusst keine
+Systemlese-Regel — das Nachziehen laeuft je Zeile gebunden). Danach wird je Mandant und je
+Server ueber `forTenant(this.prisma, tenantId)` geschrieben, Muster
+`DkvSchedulerService`/`DashboardImagesService` (einmal lesen, viele bedienen). Diesen einen
+Aufruf in `FORSYSTEM_ALLOWED_CALL_SITES` in `apps/api/src/prisma/rls-access-inventory.spec.ts`
+eintragen (`apps/api/src/proxmox/proxmox.service.ts` mit Anzahl 1) und den Kopfkommentar
+derselben Datei um den neuen Fall ergaenzen, wie es die bestehenden sieben Faelle vormachen —
+sonst schlaegt der Waechter „ein Anfrageweg darf den Systemkontext nie rufen" fehl. In
+`docs/mandantentrennung-zugriffsklassifikation.md` den Stand der Zeile
+`proxmox.service.ts`/`proxmoxServer` von `gebunden` auf `system-gebunden` heben, mit derselben
+Begruendungsform wie bei `dashboard-images.service.ts`; Bereichs- und Summenzeilen mit der
+Gate-Schleife nachmessen.
+
+`proxmox.controller.ts` bekommt `POST servers/:id/test` (ADMIN/SUPER_ADMIN) — es benutzt
+denselben Klienten und dieselbe Fehleruebersetzung wie der Planer, schreibt aber NICHT ins
+Zwischenlager, damit ein Testklick den zuletzt gemessenen Stand nicht ueberschreibt (Vorbild
+`TenderEmailConfigService.testConnection` und der LDAP-Test). Zusaetzlich ruft der Controller
+nach jedem erfolgreichen Anlegen und Speichern `scheduler.setInterval(tenantId)` — Vorbild
+`DkvController`. `POST servers/:id/poll` bekommt die Zehn-Sekunden-Sperre als Schutz davor,
+dass ein Klick in der Oberflaeche zu ungebremsten Anfragen gegen die Fremd-API wird
+(Bedrohungsmodell T-DHH-06).
+
+`proxmox.module.ts` nimmt den Planer in `providers` auf; `ScheduleModule` ist bereits global
+in `app.module.ts` registriert — nichts zusaetzlich einzurichten.
+  </action>
+  <verify>
+    <automated>pnpm --filter @tessera/api exec vitest run src/proxmox src/prisma/rls-access-inventory.spec.ts src/prisma/rls-coverage.spec.ts</automated>
+    <automated>pnpm --filter @tessera/api test</automated>
+    <automated>pnpm type-check</automated>
+  </verify>
+  <done>
+Alle Punkte aus `<behavior>` sind je durch mindestens einen Test belegt.
+`rls-access-inventory.spec.ts` und `rls-coverage.spec.ts` sind gruen, einschliesslich des
+neuen Erlaubnislisten-Eintrags und der nachgezogenen Dokumentationszeilen.
+`proxmox-nur-lesen.spec.ts` bleibt gruen. `pnpm --filter @tessera/api test` gruen mit
+mindestens 1240 Tests, `pnpm type-check` 4 von 4.
+  </done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 5: Einstellungsseite — Server anlegen, bearbeiten, loeschen, testen</name>
+  <files>
+apps/api/src/proxmox/proxmox.controller.ts,
+apps/api/src/proxmox/proxmox.service.ts,
+apps/api/src/proxmox/proxmox.service.spec.ts,
+apps/web/src/lib/proxmox-api.ts,
+apps/web/src/app/(portal)/modules/proxmox/settings/page.tsx,
+apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx,
+apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx,
+apps/web/src/messages/de.json,
+apps/web/src/messages/en.json
+  </files>
+  <behavior>
+- Bei Typ `pmg` erscheint die Auswahl „API-Token" im Formular gar nicht; nur Benutzer und Passwort sind zu sehen.
+- Bei Typ `pve` oder `pbs` und Auswahl „API-Token" erscheinen Token-Kennung und Token-Geheimnis; bei Auswahl „Benutzer/Passwort" stattdessen Benutzer und Passwort.
+- Ein gespeichertes Geheimnis wird beim Bearbeiten nie im Klartext angezeigt; das Feld ist leer und ein leer gelassenes Feld laesst das gespeicherte Geheimnis unveraendert.
+- Der Schalter fuer die Zertifikatspruefung steht beim Anlegen auf „pruefen" und traegt einen erklaerenden Hinweis, dass die Ausnahme nur fuer diesen einen Server gilt.
+- Der Knopf „Verbindung testen" zeigt bei Erfolg eine gruene Bestaetigung und bei Misserfolg den Klartext der Ursache in der Sie-Form.
+- Ein Benutzer ohne Verwaltungsrolle sieht die Einstellungsseite nicht, sondern einen Hinweis.
+- Loeschen verlangt eine Rueckfrage und entfernt Server samt Zwischenlagerzeile.
+  </behavior>
+  <action>
+Zuerst `ServerForm.test.tsx` schreiben (rot), Vorbild
+`modules/tender-radar/settings/components/EmailAlertConfigForm.test.tsx` und
+`modules/dkv-fleet/settings/components/InboxConfigForm.tsx`.
+
+Backend: `proxmox.controller.ts` und `proxmox.service.ts` um `PUT servers/:id` und
+`DELETE servers/:id` ergaenzen, beide mit `@Roles(Role.ADMIN, Role.SUPER_ADMIN)` und beide
+ueber `forTenant()`. Beim Aendern gilt dieselbe Regel wie bei
+`LdapConfigService.updateConfig`: ein NICHT gesendetes Geheimnisfeld laesst den gespeicherten
+Wert unveraendert, eine LEERE Zeichenkette bedeutet „loeschen" und ein gefuellter Wert wird
+neu verschluesselt. Die Ablehnung „PMG mit Token" gilt auch hier. Das Loeschen entfernt die
+Zwischenlagerzeile ueber die Fremdschluesselregel mit Loeschweitergabe und zieht anschliessend
+den Auftrag des Mandanten nach.
+
+Frontend: `settings/page.tsx` nach dem Muster von
+`modules/tender-radar/settings/page.tsx` — Rollenpruefung ausschliesslich zur Anzeige, mit
+Ladezustand solange die Rolle unbekannt ist, damit die Verwaltungsteile fuer einen normalen
+Benutzer nie kurz aufblitzen; der verbindliche Riegel bleibt serverseitig. Darin die
+Serverliste und das Formular `ServerForm.tsx`: Name, Typ (drei Knoepfe oder Auswahl),
+Adresse, Zugangsart, die typabhaengigen Zugangsfelder, Abfrageintervall, Schalter fuer die
+Zertifikatspruefung, aktiv/inaktiv. Der Knopf „Verbindung testen" ruft
+`POST servers/:id/test` und zeigt das Ergebnis direkt beim Formular. Die Uebersetzung der
+sieben Fehlerschluessel liegt im Frontend unter `proxmox.errors.*` — deutsche Texte in der
+Sie-Form (D-10), englische Entsprechungen in `en.json`; die Texte nennen die Ursache und den
+naechsten Schritt, ohne Fachbegriffe (Beispielform fuer `zugang`: „Der Zugang wurde
+abgelehnt. Bitte pruefen Sie Benutzername und Passwort beziehungsweise die Token-Angaben.").
+`proxmox-api.ts` bekommt `createServer`, `updateServer`, `deleteServer`, `testServer`,
+`pollServer`.
+
+Biome-Warnungen in `apps/web` muessen danach exakt 53 bleiben — neue Formulareingaben brauchen
+daher von Anfang an die im Bestand ueblichen Beschriftungsbezuege und Tastaturbedienbarkeit.
+  </action>
+  <verify>
+    <automated>pnpm --filter @tessera/web exec vitest run proxmox</automated>
+    <automated>pnpm --filter @tessera/api test</automated>
+    <automated>pnpm --filter @tessera/web test</automated>
+    <automated>pnpm lint</automated>
+    <automated>pnpm --filter @tessera/web exec biome lint . 2>&1 | grep -c 'Found 53 warnings'</automated>
+  </verify>
+  <done>
+Alle Punkte aus `<behavior>` sind je durch mindestens einen Test belegt.
+`pnpm --filter @tessera/web test` gruen mit mindestens 693 Tests,
+`pnpm --filter @tessera/api test` gruen mit mindestens 1240 Tests, `pnpm lint` 5 von 5, und
+`biome lint` in `apps/web` meldet unveraendert 53 Warnungen.
+  </done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 6: Modulseite — Serverliste mit Auslastung, Klartext bei Stoerungen</name>
+  <files>
+apps/web/src/app/(portal)/modules/proxmox/page.tsx,
+apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx,
+apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx,
+apps/web/src/lib/proxmox-api.ts,
+apps/web/src/messages/de.json,
+apps/web/src/messages/en.json
+  </files>
+  <behavior>
+- Ohne eingetragenen Server zeigt die Seite einen ruhigen Hinweis mit dem Weg zu den Einstellungen — keine Fehlermeldung, keine leere Flaeche.
+- Ein PVE-Server zeigt Knotenzahl, laufende und gestoppte Gaeste sowie je Knoten Prozessorlast und Speicherbelegung.
+- Ein PBS-Server zeigt je Datenspeicher Belegung, letzte Sicherung und Ergebnis der letzten Pruefung.
+- Ein PMG-Server zeigt die Tageszahlen eingehend, ausgehend, Spam und Viren.
+- Ein Messwert, der `null` ist, erscheint als „unbekannt" — nie als `0`, nie als leeres Feld, nie als `NaN`.
+- Ein Server mit `reachable: false` zeigt den Klartext seiner Ursache und daneben den Zeitpunkt der letzten erfolgreichen Messung, falls es eine gab.
+- Der Zeitpunkt der letzten Abfrage steht bei jedem Server.
+- Zaehlerfelder sind ausdruecklich als „gesamt seit Start" beschriftet, nicht als aktueller Durchsatz.
+- Der Knopf „Jetzt aktualisieren" loest eine Abfrage aus und laedt danach die Liste neu; waehrend des Laufs ist er gesperrt.
+  </behavior>
+  <action>
+Zuerst `ServerCard.test.tsx` schreiben (rot) — je Punkt aus `<behavior>` ein Fall, mit
+erfundenen Zwischenlagerstaenden je Produkttyp, einschliesslich eines Standes, in dem jeder
+Einzelwert `null` ist.
+
+`ServerCard.tsx` ist die Anzeige EINES Servers und verzweigt ueber `productType` auf der
+unterscheidbaren Union aus Aufgabe 3. Eine gemeinsame kleine Hilfe stellt jeden Einzelwert
+dar: ist er `null` oder `undefined`, erscheint der uebersetzte Text „unbekannt"; sonst der
+Wert mit seiner Einheit (Prozentwerte gerundet, Byte-Werte in lesbarer Form). Diese Hilfe ist
+die einzige Stelle, die einen Messwert in Text verwandelt — dadurch kann kein Zweig versehentlich
+eine `0` anzeigen, wo nichts gemessen wurde. Den Grund als deutschen Kommentar festhalten: die
+Feldnamen von PBS und PMG sind bis zur Pruefung am echten Server nur abgeleitet, und ein still
+falscher Wert waere schlimmer als ein ehrliches „unbekannt".
+
+Die Zaehlerfelder aus `cluster/resources` sind kumulative Werte seit dem Start eines Gastes,
+keine Rate (Recherche, Fallstricke) — die Beschriftung sagt das ausdruecklich, damit der
+Nutzer sie nicht als aktuellen Durchsatz liest.
+
+`page.tsx` zeigt die Serverliste, oben den Knopf „Jetzt aktualisieren", und fuer Benutzer mit
+Verwaltungsrolle einen Verweis auf die Einstellungsseite. Bei leerer Liste der ruhige Hinweis.
+Schlaegt der Listenabruf selbst fehl, erscheint eine einzelne verstaendliche Meldung, nicht
+mehrere. Alle Texte ueber `useTranslations('proxmox')` in `de.json` UND `en.json`, deutsch in
+der Sie-Form (D-10).
+
+Biome-Warnungen in `apps/web` bleiben exakt 53.
+  </action>
+  <verify>
+    <automated>pnpm --filter @tessera/web exec vitest run proxmox</automated>
+    <automated>pnpm --filter @tessera/web test</automated>
+    <automated>pnpm type-check</automated>
+    <automated>pnpm --filter @tessera/web exec biome lint . 2>&1 | grep -c 'Found 53 warnings'</automated>
+  </verify>
+  <human-check>
+Im Browser `/modules/infrastructure/proxmox` oeffnen: ohne Server steht dort der ruhige
+Hinweis; nach dem Anlegen eines Servers in den Einstellungen erscheint er in der Liste, und
+ein absichtlich falsch eingetragener Zugang zeigt Klartext statt einer leeren Flaeche.
+  </human-check>
+  <done>
+Alle Punkte aus `<behavior>` sind je durch mindestens einen Test belegt.
+`pnpm --filter @tessera/web test` gruen mit mindestens 693 Tests, `pnpm type-check` 4 von 4,
+`biome lint` in `apps/web` unveraendert 53 Warnungen.
+  </done>
+</task>
+
+<task type="auto">
+  <name>Aufgabe 7: Dokumentation und Nachmessung aller Tore</name>
+  <files>
+docs/anleitung-entwicklung.md,
+docs/anwenderhandbuch.md,
+docs/mandantentrennung-zugriffsklassifikation.md
+  </files>
+  <action>
+`docs/anwenderhandbuch.md` bekommt einen Abschnitt zum Proxmox-Modul in Alltagssprache und in
+der Sie-Form (D-10): was das Modul zeigt, wie ein Server in den Einstellungen angelegt wird
+(Name, Typ, Adresse, Zugang), welche NUR-LESE-Rolle im jeweiligen Produkt zu vergeben ist
+(PVE `PVEAuditor`, PBS `Audit` beziehungsweise `DatastoreAudit`, PMG `Auditor`), dass bei PMG
+nur Benutzer und Passwort moeglich sind, wozu der Schalter fuer die Zertifikatspruefung da ist
+und dass er nur fuer genau diesen einen Server gilt, was der Knopf „Verbindung testen" sagt
+und was „unbekannt" bei einem Messwert bedeutet. Ausdruecklich festhalten: Tessera veraendert
+bei Proxmox nichts, es schaut nur zu (D-01).
+
+`docs/anleitung-entwicklung.md` bekommt im Abschnitt „So entsteht ein neues Modul" einen
+Hinweis auf `proxmox` als Vorlage fuer ein Modul mit Fremdsystem-Zugaengen und
+Hintergrundabfrage, und an geeigneter Stelle den Merksatz zur `undici`-Falle (globales `fetch`
+ignoriert einen Dispatcher aus dem npm-Paket), falls er dort noch nicht steht.
+
+`docs/mandantentrennung-zugriffsklassifikation.md` abschliessend nachziehen: den neuen Bereich
+`proxmox` als eigene Zeile in der Bereichsuebersicht und die Summenzeile — beides mit der
+Gate-Schleife NACHGEMESSEN, nicht abgeschrieben, und mit dem Auftragskuerzel `260923-dhh`
+versehen wie die bestehenden Eintraege.
+
+Danach alle Tore einmal vollstaendig durchlaufen und die Endzahlen in der Zusammenfassung
+gegen die Ausgangswerte aus dem `<objective>` stellen: api-Tests, web-Tests, type-check,
+lint, Biome-Warnungen in `apps/web`. Eine Verschlechterung an irgendeinem Tor ist ein
+Abbruchgrund, keine Randnotiz.
+  </action>
+  <verify>
+    <automated>pnpm --filter @tessera/api test</automated>
+    <automated>pnpm --filter @tessera/web test</automated>
+    <automated>pnpm type-check</automated>
+    <automated>pnpm lint</automated>
+    <automated>pnpm --filter @tessera/web exec biome lint . 2>&1 | grep -c 'Found 53 warnings'</automated>
+  </verify>
+  <done>
+Anwenderhandbuch und Entwicklungsanleitung beschreiben das Modul; die Klassifikationstabelle
+ist nachgemessen und `rls-access-inventory.spec.ts` gruen. Endzahlen dokumentiert:
+api-Tests gruen und mindestens 1240, web-Tests gruen und mindestens 693, type-check 4 von 4,
+lint 5 von 5, Biome-Warnungen in `apps/web` exakt 53.
+  </done>
+</task>
+
+</tasks>
+
+<threat_model>
+## Trust Boundaries
+
+| Boundary | Description |
+|----------|-------------|
+| Browser -> Tessera-API | Der Administrator sendet Serveradressen und Zugangsdaten; jeder Benutzer mit Modulfreigabe liest die Serverliste |
+| Tessera-API -> Proxmox (PVE/PBS/PMG) | Ausgehende Verbindung in das interne Netz mit einem Geheimnis im Gepaeck; Gegenstelle ist nicht von Tessera kontrolliert |
+| Tessera-API -> PostgreSQL | Verschluesselte Zugangsdaten und Messwerte; Mandantentrennung ueber RLS |
+| Mandant A -> Mandant B | Zwei Mandanten duerfen die Proxmox-Zugaenge des jeweils anderen nie sehen |
+
+## STRIDE Threat Register
+
+| Threat ID | Category | Component | Severity | Disposition | Mitigation Plan |
+|-----------|----------|-----------|----------|-------------|-----------------|
+| T-DHH-01 | Information Disclosure | Zugangsdaten in Antwort, Protokoll und Fehlermeldung | critical | mitigate | Aufgabe 1: `listWithStatus` waehlt `encryptedTokenSecret`/`encryptedPassword` per `select` gar nicht erst aus (nicht nachtraeglich maskiert). Aufgabe 2: `proxmox-auth.ts` protokolliert nie, `errorDetail` traegt nur Statuszahl und Fehlerkennung, `rawSample` ist auf 20 000 Zeichen gekuerzt und enthaelt nur Antwortdaten, nie die gesendete Kopfzeile. Test in Aufgabe 1/2: keine Geheimnisform in Antwort und Meldung |
+| T-DHH-02 | Spoofing / SSRF | Vom Administrator eingetragene Adresse | high | mitigate | Nur ADMIN/SUPER_ADMIN duerfen Adressen eintragen (`@Roles` auf allen Schreibwegen, Aufgabe 1/5) — damit ist jede Adresse eine bewusste Freigabe (D-02). Adressform per `@IsUrl` auf `http`/`https` begrenzt. BEWUSST KEINE Privat-IP-Sperre wie `isPublicHttpUrl`: Proxmox steht per Definition im privaten Netz, eine solche Sperre wuerde das Modul unbrauchbar machen; die Begruendung steht als Kommentar in `proxmox-client.service.ts`. Abbruch nach 8 Sekunden begrenzt den Missbrauch als Portscanner |
+| T-DHH-03 | Information Disclosure | Zertifikats-Ausnahme reicht weiter als gewollt | high | mitigate | Aufgabe 1: Dispatcher wird JE AUFRUF aus dem Feld `tlsRejectUnauthorized` genau dieser Serverzeile gebaut; Voreinstellung `true`. Keine Modulkonstante, keine Node-Umgebungsvariable. Test: bei `true` wird kein Dispatcher uebergeben, bei `false` genau einer mit abgeschalteter Pruefung — und die Ausnahme eines Servers wirkt nicht auf einen zweiten |
+| T-DHH-04 | Elevation of Privilege | Fremder Mandant liest Proxmox-Zugaenge | critical | mitigate | Aufgabe 1: `tenantId` auf beiden Tabellen, `tenant_isolation_policy` in der Migration, jeder Zugriff ueber `forTenant()`. Aufgabe 4: der einzige `forSystem()`-Aufruf ist der Startpfad des Planers, in `FORSYSTEM_ALLOWED_CALL_SITES` eingetragen und rein lesend; geschrieben wird je Zeile gebunden. Gates: `rls-coverage.spec.ts`, `rls-access-inventory.spec.ts` |
+| T-DHH-05 | Elevation of Privilege | Rechteausweitung ueber das Modul | high | mitigate | Aufgabe 1: `@UseModule('proxmox')` auf Klassenebene (Aktivierung UND Freigabe, D-09), zusaetzlich `@Roles(ADMIN, SUPER_ADMIN)` auf jedem Schreibweg. `tenantId` und Rolle kommen ausschliesslich aus dem geprueften Sitzungsnachweis, nie aus Body oder Query. Die Rollenpruefung im Frontend (Aufgabe 5) ist reine Anzeige und ersetzt nichts |
+| T-DHH-06 | Denial of Service | Ungebremster Nutzer-Auslöser gegen die Fremd-API | medium | mitigate | Aufgabe 4: `POST servers/:id/poll` sperrt einen zweiten Durchlauf innerhalb von zehn Sekunden und liefert stattdessen den Zwischenlagerstand. Regulaer fragt ausschliesslich der Planer mit begrenzter Frequenz ab; jede Anzeige liest aus dem Zwischenlager (D-05). Aufgabe 3: Deckel von zehn Folgeabfragen je PBS-Durchlauf |
+| T-DHH-07 | Tampering | Ein veraendernder Weg gegen Proxmox entsteht (heute oder spaeter) | high | mitigate | Aufgabe 1: nur eine Datenabruf-Funktion `proxmoxGet`, Verfahren fest verdrahtet. Aufgabe 2: `proxmox-nur-lesen.spec.ts` zaehlt maschinell nach, dass die einzige nicht-lesende Anfrage die Ticket-Anmeldung ist, mit benannter Erwartungszahl und ausgeschriebener Begruendung — eine spaetere Erhoehung erzwingt eine bewusste Entscheidung (D-01) |
+| T-DHH-08 | Tampering | Zwischenlager zeigt still einen Falschwert | medium | mitigate | Aufgabe 3: jeder Einzelwert wird nachsichtig gelesen und ist bei fehlendem oder unbrauchbarem Feld `null`; Aufgabe 6: `null` erscheint als „unbekannt", nie als `0`. Die gekuerzte Rohantwort bleibt erhalten, damit der Nutzer am echten Server erkennt, wie ein Feld wirklich heisst |
+| T-DHH-SC | Tampering | Paketinstallationen | low | accept | Dieser Auftrag installiert kein einziges Paket (D-07) — `undici` ist bereits direkte Abhaengigkeit von `apps/api`. Die Paket-Pruefliste der Recherche weist den Punkt ausdruecklich als nicht anwendbar aus. Entsteht wider Erwarten doch eine Installation, greift die Paket-Pruefung vor dem Einbau |
+</threat_model>
+
+<source_audit>
+## Mehrfachquellen-Abdeckung
+
+**GOAL** (Auftragsbeschreibung)
+
+| Punkt | Status | Abgedeckt durch |
+|---|---|---|
+| PVE, PBS und PMG anbinden | COVERED | Aufgabe 1 (PVE), Aufgabe 3 (PBS, PMG) |
+| Nur beobachten | COVERED | Aufgabe 1 (`proxmoxGet`), Aufgabe 2 (`proxmox-nur-lesen.spec.ts`) |
+| Server in den Einstellungen anlegen (Adresse + Zugang) | COVERED | Aufgabe 1 (Anlegen), Aufgabe 5 (Oberflaeche, Bearbeiten, Loeschen) |
+| Zugang Token oder Benutzer/Passwort, verschluesselt | COVERED | Aufgabe 1 (Token), Aufgabe 2 (Benutzer/Passwort), beide ueber `CryptoService` |
+| Abfrage im Hintergrund mit Zwischenlager | COVERED | Aufgabe 1 (Zwischenlagertabelle), Aufgabe 4 (Planer) |
+| Modulseite mit Serverliste und Auslastung | COVERED | Aufgabe 1 (duenne Liste), Aufgabe 6 (Auslastung je Produkt) |
+
+**RESEARCH** (`260923-dhh-RESEARCH.md`)
+
+| Punkt | Status | Abgedeckt durch |
+|---|---|---|
+| Token-Kopfzeilen je Produkt, PMG ohne Token (A1) | COVERED | Aufgabe 1 und 2 (`proxmox-auth.ts`), Aufgabe 5 (Formular bietet es bei PMG nicht an) |
+| Ticket-Anmeldung, Cookie-Namen je Produkt (A2) | COVERED | Aufgabe 2, Cookie-Namen als EINE benannte Konstante mit Annahme-Kommentar |
+| Kein CSRF noetig, weil nur gelesen wird | COVERED | Aufgabe 2 (`<behavior>`) |
+| `cluster/resources` als eine Abfrage fuer PVE | COVERED | Aufgabe 1 und 3 |
+| PBS-Belegung und Snapshot-Felder (A3) | COVERED | Aufgabe 3, Feldnamen als EINE benannte Konstante |
+| PMG-Tageszahlen (A5, keine Quarantaene) | COVERED | Aufgabe 3; Quarantaene bleibt ausserhalb des Umfangs |
+| Fehlerverhalten 401 breiter als ueblich (A4) | COVERED | Aufgabe 2 (`classifyFailure`) |
+| undici-Dispatcher-Falle unter Node 24 | COVERED | Aufgabe 1 (Kommentar und Test), Aufgabe 7 (Anleitung) |
+| Pro Zeile umschaltbarer Zertifikats-Bypass | COVERED | Aufgabe 1, T-DHH-03 |
+| `onApplicationBootstrap` statt `onModuleInit` | COVERED | Aufgabe 4 |
+| Mandanten-Auffaechern je Cron-Auftrag | COVERED | Aufgabe 4 |
+| Zwischenlager statt Live-Abfrage | COVERED | Aufgabe 1, 4, 6 |
+| RLS-Migration, Klassifikationsdoku, Erlaubnisliste | COVERED | Aufgabe 1 (Migration, Doku), Aufgabe 4 (Erlaubnisliste), Aufgabe 7 (Nachmessung) |
+| Nur-Lese-Rollen je Produkt als Hinweis an den Admin | COVERED | Aufgabe 7 (Anwenderhandbuch), `user_setup` im Frontmatter |
+| Zaehler sind kumulativ, keine Rate | COVERED | Aufgabe 6 (Beschriftung) |
+| Ticket-Erneuerung bei 401 | COVERED | Aufgabe 2 |
+| Keine neue npm-Abhaengigkeit | COVERED | Aufgabe 1 (D-07), Paket-Pruefliste nicht anwendbar |
+
+**CONTEXT** (getroffene Entscheidungen D-01 bis D-11)
+
+| ID | Status | Abgedeckt durch |
+|---|---|---|
+| D-01 | COVERED | Aufgabe 1 (`proxmoxGet`), Aufgabe 2 (`proxmox-nur-lesen.spec.ts`), `must_haves.truths`, T-DHH-07 |
+| D-02 | COVERED | Aufgabe 1 (Verschluesselung, `select` ohne Geheimnisse), Aufgabe 5 (Formular), T-DHH-01 |
+| D-03 | COVERED | Aufgabe 1 und 2 (`proxmox-auth.ts` als einzige Stelle), Aufgabe 5 (Formular ohne Token bei PMG) |
+| D-04 | COVERED | Aufgabe 1 (Dispatcher je Aufruf), Aufgabe 5 (Schalter), T-DHH-03 |
+| D-05 | COVERED | Aufgabe 1 (Zwischenlager), Aufgabe 4 (Planer nach TENDER-Muster), Aufgabe 6 (Seite liest nur den Cache) |
+| D-06 | COVERED | Aufgabe 2 (Fehlerklassen), Aufgabe 4 (Testendpunkt), Aufgabe 5 (Knopf und Klartext) |
+| D-07 | COVERED | Aufgabe 1 (nur `undici`), Paket-Pruefliste nicht anwendbar |
+| D-08 | COVERED | Aufgabe 1 (Migration, Doku), Aufgabe 4 (Erlaubnisliste, Standwechsel), Aufgabe 7 (Nachmessung), T-DHH-04 |
+| D-09 | COVERED | Aufgabe 1 (`@UseModule`, `ModuleAccessGate`), T-DHH-05 |
+| D-10 | COVERED | Aufgaben 1, 5, 6 (next-intl, Sie-Form), 7 (Anwenderhandbuch) |
+| D-11 | COVERED (als Ausschluss) | `<objective>`, Abschnitt „Ausdruecklich NICHT im Umfang" |
+
+**Keine Luecke.** Nicht abgedeckt sind ausschliesslich die vom Auftrag ausgeschlossenen Punkte
+(Dashboard-Kachel, `/rrddata`, Eingriffe, PMG-Quarantaene).
+</source_audit>
+
+<verification>
+Nach jeder Aufgabe (je Commit):
+
+- `pnpm --filter @tessera/api test` — gruen, mindestens 1240 Tests
+- `pnpm --filter @tessera/web test` — gruen, mindestens 693 Tests
+- `pnpm type-check` — 4 von 4 erfolgreich
+- `pnpm lint` — 5 von 5 erfolgreich
+- `pnpm --filter @tessera/web exec biome lint .` — exakt 53 Warnungen
+
+Zusaetzlich nach den Aufgaben 1 und 4:
+
+- `pnpm --filter @tessera/api exec vitest run src/prisma/rls-coverage.spec.ts src/prisma/rls-access-inventory.spec.ts` — gruen
+
+Ab Aufgabe 2 dauerhaft:
+
+- `pnpm --filter @tessera/api exec vitest run src/proxmox/proxmox-nur-lesen.spec.ts` — gruen
+
+**Was diese Tore NICHT beweisen:** die Feldnamen von PBS und PMG (Annahmen A2, A3, A5 der
+Recherche). Es gibt hier keinen echten PVE-/PBS-/PMG-Server; alle Tests laufen gegen erfundene
+Antworten in der dokumentierten Form. Der Nutzer prueft das Modul selbst auf `alpha` gegen
+seine echten Server. Genau dafuer sind die Feldnamen je Produkt als EINE benannte Konstante
+gebaut und bleibt die gekuerzte Rohantwort im Zwischenlager erhalten: weicht die Wirklichkeit
+ab, ist eine einzige Stelle nachzuziehen und der Nutzer sieht in der Oberflaeche „unbekannt"
+statt eines Absturzes.
+</verification>
+
+<success_criteria>
+1. Kein Weg im gesamten Modul veraendert etwas bei Proxmox; der maschinelle Riegel
+   `proxmox-nur-lesen.spec.ts` weist nach, dass die einzige nicht-lesende Anfrage die
+   Ticket-Anmeldung ist.
+2. Ein Administrator legt in den Moduleinstellungen Server aller drei Typen an; bei PMG wird
+   die Token-Auswahl gar nicht erst angeboten und serverseitig abgelehnt.
+3. Zugangsdaten stehen verschluesselt in der Datenbank und verlassen sie auf keinem Weg im
+   Klartext — auch nicht in Fehlermeldungen, Protokollen oder der Rohprobe.
+4. Die Zertifikats-Ausnahme gilt nur fuer die Server, bei denen sie einzeln eingeschaltet
+   wurde; Voreinstellung ist pruefen.
+5. Der Hintergrunddienst haengt an `onApplicationBootstrap`, faechert je Mandant auf und
+   ueberschreibt den Auftrag eines zweiten Mandanten nicht.
+6. Die Modulseite liest ausschliesslich aus dem Zwischenlager, zeigt fehlende Werte als
+   „unbekannt" und ohne Server einen ruhigen Hinweis.
+7. Der Knopf „Verbindung testen" nennt die Ursache in Alltagssprache.
+8. Beide neuen Tabellen tragen `tenantId` mit RLS-Policy; `rls-coverage.spec.ts` und
+   `rls-access-inventory.spec.ts` sind gruen, die Klassifikationsdoku ist nachgemessen.
+9. Alle Tore mindestens auf Ausgangswert: api-Tests ab 1240, web-Tests ab 693, type-check 4/4,
+   lint 5/5, Biome-Warnungen in `apps/web` exakt 53.
+10. Anwenderhandbuch und Entwicklungsanleitung beschreiben das Modul, einschliesslich der
+    NUR-LESE-Rolle je Produkt.
+</success_criteria>
+
+<output>
+Nach Abschluss `.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-SUMMARY.md`
+schreiben — mit den gemessenen Endzahlen aller Tore neben den Ausgangswerten und einer
+ausdruecklichen Liste der Stellen, die der Nutzer beim Test an seinen echten Servern
+moeglicherweise nachziehen muss (Cookie-Namen je Produkt, Feldnamen je Produkt).
+</output>

.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-RESEARCH.md

@@ -0,0 +1,358 @@
+# Quick-Aufgabe 260923-dhh: Proxmox-Modul (PVE/PBS/PMG) — Research
+
+**Researched:** 2026-09-23
+**Domain:** Proxmox VE/PBS/PMG REST-API (nur lesend), NestJS-Hintergrunddienst mit Zertifikatsausnahme, Mandantentrennung (Prisma/RLS), Modul-/Kachel-Registrierung im Bestand
+**Confidence:** MEDIUM — Proxmox-API-Formen (Auth-Header, `cluster/resources`, PBS-Datastore, PMG-Statistik) sind aus offizieller Doku UND Foren-Diskussion zusammengetragen (offizielle API-Viewer sind reine JS-Apps und liefern beim Abruf keinen Text); Bestandsmuster (Verschlüsselung, Scheduler, RLS, Modul-Registrierung) sind HIGH, weil aus tatsächlich gelesenem Code dieses Repos zitiert.
+
+## Summary
+
+Das Proxmox-Modul ist reine Beobachtung (kein Schreibzugriff) auf bis zu drei Produkttypen — PVE, PBS, PMG —, die derselbe Mandant in beliebiger Zahl in den Einstellungen einträgt (Adresse + Zugang, wahlweise API-Token oder Benutzer/Passwort). Alle drei Produkte teilen dieselbe API-Familie (REST, `/api2/json/...`), aber mit produktspezifischem Token-Präfix (`PVEAPIToken`/`PBSAPIToken`) — PMG hat laut aktueller Foren- und Roadmap-Lage **keine** API-Token-Unterstützung, nur Ticket-Login, weshalb der Zugang für PMG-Server ausschließlich Benutzer/Passwort sein kann (Konsequenz für die Einstellungs-UI: das Token-Feld ist bei Typ „PMG" auszublenden). Für reine Leseabfragen ist ein CSRF-Token nie nötig — weder bei Token- noch bei Ticket-Auth —, weil CSRF nur GET-fremde Schreiboperationen betrifft; das vereinfacht die Ticket-Variante erheblich (Cookie genügt).
+
+Der Bestand liefert für jeden Baustein bereits ein direktes Vorbild: `CalendarSource` ist die richtige Schema-Vorlage (mehrere verschlüsselte Fremdsystem-Zugänge pro Mandant, nicht ein Singleton wie `DkvModuleConfig`); `CryptoService`/`LdapConfig.tlsRejectUnauthorized` zeigen sowohl die Verschlüsselung als auch den **admin-gesteuerten, pro Zeile umschaltbaren** Zertifikats-Bypass — das ist die bessere Vorlage als die pauschale, immer-an-Ausnahme in `icon-discovery.service.ts`, weil hier echte Zugangsdaten über die Leitung gehen, nicht nur ein Favicon; und `TenderSchedulerService` (kombiniert mit `DkvSchedulerService`) zeigt exakt das Timing-Problem, das ein neuer Hintergrunddienst vermeiden muss: `onModuleInit`-Reihenfolge ist zwischen NestJS-Modulen nicht garantiert, `onApplicationBootstrap` läuft dagegen nachweislich nach jedem `onModuleInit` und ist deshalb für einen Proxmox-Planer, der die Modul-Seed-Daten voraussetzt, die richtige Lebenszyklus-Stufe — nicht die von `DkvSchedulerService` tatsächlich verwendete `onModuleInit`.
+
+Für die Frage „live abfragen oder zwischenlagern" gibt der Bestand eine eindeutige Antwort: sowohl DKV (`DkvInvoiceHistory`) als auch Tender-Radar (`Tender`) schreiben Hintergrund-Polling-Ergebnisse in eine eigene Tabelle und die Seite liest ausschließlich daraus — kein Modul in diesem Projekt holt Fremddaten live bei Seitenaufruf. Für Proxmox ist das erst recht richtig: ein Dashboard-Widget, das bei jedem Öffnen drei bis N Server live abfragt, wäre spürbar langsam und bei nicht erreichbarem Server sogar blockierend. Empfehlung: ein Cron-Auftrag pro Mandant (DKV-Muster) mit `onApplicationBootstrap`-Timing (Tender-Muster) schreibt die zuletzt gemessenen Werte (Knoten/VM/Container-Zustand, PBS-Datastore-Belegung + letzter Backup-/Verify-Lauf, PMG-Tageszahlen) in eine Zwischenlagertabelle je Server; das Dashboard und die Modulseite lesen ausschließlich diese Tabelle.
+
+**Primary recommendation:** `ProxmoxServer`-Modell nach `CalendarSource`-Vorbild (mehrere Zeilen je Mandant, `encryptedTokenSecret`/`encryptedPassword` über `CryptoService`, `tlsRejectUnauthorized Boolean @default(true)` pro Zeile); ein `ProxmoxSchedulerService` nach `DkvSchedulerService`-Vorbild (ein Cron-Auftrag je Mandant) aber mit `OnApplicationBootstrap` statt `OnModuleInit`; ein `ProxmoxSnapshot`/`ProxmoxServerStatus`-Cache-Modell, das der Planer beschreibt und Widget/Modulseite lesen; für Zertifikatsausnahmen ein pro Aufruf gebauter `undici.Agent({ connect: { rejectUnauthorized: false } })`, **nur** wenn `tlsRejectUnauthorized === false` auf genau diesem Server steht — kein modulweiter, kein globaler Bypass.
+
+## Architectural Responsibility Map
+
+| Capability | Primary Tier | Secondary Tier | Rationale |
+|------------|-------------|----------------|-----------|
+| Proxmox-Server-Verwaltung (CRUD Adresse+Zugang) | API / Backend | Frontend Server (Formulare) | Verschlüsselung und RLS-Bindung müssen serverseitig passieren, wie bei `LdapConfig`/`CalendarSource` |
+| Periodische Abfrage PVE/PBS/PMG | API / Backend (Hintergrunddienst) | — | Kein Nutzer-Trigger; Cron-Auftrag wie DKV/Tender, kein Browser-Bezug |
+| Zwischenlagerung der Messwerte | Database / Storage | API / Backend (Schreiber) | Dashboard-Geschwindigkeit verlangt Cache-Tabelle statt Live-Fetch (siehe Summary) |
+| Dashboard-Kachel „Proxmox" | Browser (Rendering) | API / Backend (liefert Cache-Daten) | Folgt dem in `docs/anleitung-entwicklung.md` beschriebenen Drei-Stellen-Muster |
+| Modulseite (Server-Übersicht, Details) | Frontend Server (SSR-Gate) | API / Backend | `ModuleAccessGate` + eigenes `layout.tsx`, wie bei den vier bestehenden fest verdrahteten Modulverzeichnissen |
+| Zugriffskontrolle auf Proxmox-Endpunkte | API / Backend | — | `@UseModule('proxmox')` auf dem Controller, unabhängig vom Frontend-Gate |
+| TLS-Ausnahme für selbstsigniertes Zertifikat | API / Backend (pro Aufruf) | — | Muss am Ort des Fetch-Aufrufs entschieden werden, nicht global (Prozessumgebung bleibt streng) |
+
+## 1. Proxmox-API konkret
+
+### Anmeldung — API-Token
+
+Alle drei Produkte senden den Token im `Authorization`-Header, aber mit unterschiedlichem Schema-Namen und leicht unterschiedlicher Werteform:
+
+| Produkt | Header-Form | Quelle |
+|---|---|---|
+| PVE | `Authorization: PVEAPIToken=USER@REALM!TOKENID=SECRET` (ein `=` vor dem Secret) | `[CITED: pve.proxmox.com/pve-docs/pveum-plain.html]` |
+| PBS | `Authorization: PBSAPIToken=USER@REALM!TOKENID:SECRET` (ein `:` vor dem Secret — **anderes Trennzeichen als PVE**) | `[CITED: pbs.proxmox.com/docs/user-management.html]` |
+| PMG | **kein Token-Schema.** Foren-Aussage (proxmox.com-Forum, 2024/2025): „PMG doesn't have API tokens, only Tickets." Kein Gegenbeleg in der aktuellen `pmg-admin-guide` gefunden. | `[CITED: forum.proxmox.com/threads/why-are-there-no-api-tokens.156802]` — Forenaussage, nicht offizielle Referenzdoku; als `[ASSUMED]` in die Planung übernehmen und vor dem Bau am echten PMG-Server verifizieren (`checkpoint:human-verify`) |
+
+**Konsequenz für die Einstellungs-UI:** Server-Typ „PMG" darf die Auswahl „API-Token" nicht anbieten (oder muss sie beim Speichern ablehnen) — sonst legt der Admin einen Zugang an, der nie funktioniert.
+
+### Anmeldung — Ticket (Benutzer/Passwort)
+
+Identischer Mechanismus für alle drei Produkte (PMG: „funktioniert exakt wie bei PVE, PVE durch PMG ersetzen", Foren-Zitat):
+
+```
+POST /api2/json/access/ticket
+Body: username=<user>@<realm>&password=<pw>
+```
+
+Antwort (JSON, `data`-Objekt): `ticket` (signierter Wert, Form `PVE:user@realm:...`), `CSRFPreventionToken`, `username`. `[CITED: pve.proxmox.com/wiki/Proxmox_VE_API]`
+
+Folgeanfragen senden das Ticket als Cookie: `Cookie: PVEAuthCookie=<ticket>` (bei PBS/PMG vermutlich `PBSAuthCookie`/`PMGAuthCookie` — **nicht in der Doku bestätigt gefunden, `[ASSUMED]`**, vor Bau verifizieren). Ticket-Lebensdauer 2 Stunden bei PVE `[CITED: pve.proxmox.com/wiki/Proxmox_VE_API]`; ein Forumsbeitrag nennt abweichend 40 Sekunden für den kurzlebigen VNC-Ticket-Typ — **nicht derselbe Tickettyp**, für den hier verwendeten Auth-Ticket gilt die 2-Stunden-Angabe aus der offiziellen Wiki-Seite.
+
+**CSRF — die zentrale Vereinfachung für dieses Modul:** `CSRFPreventionToken` ist laut offizieller Doku **nur für schreibende Anfragen (POST/PUT/DELETE)** nötig; „GET requests do not require this token" `[CITED: pve.proxmox.com/wiki/Proxmox_VE_API]`. Da dieses Modul ausschließlich liest (Auftrag: „NUR BEOBACHTEN"), entfällt die CSRF-Handhabung vollständig — auch bei Ticket-Auth genügt das Cookie. Bei Token-Auth ist CSRF ohnehin nie nötig, für keine Methode `[CITED: gleiche Quelle]`.
+
+### PVE: Knoten/VMs/Container in einer Abfrage
+
+`GET /api2/json/cluster/resources` liefert **alle** Objekttypen (`vm`, `node`, `storage`, weitere) in einer einzigen Anfrage, optional gefiltert per `?type=vm`. Für VM/Container-Zeilen kommen laut mehreren Forenbelegen die Felder `cpu`, `maxcpu`, `mem`, `maxmem`, `disk`, `maxdisk`, `netin`, `netout`, `diskread`, `diskwrite`, `node`, `vmid`, `status`, `uptime`, `type` zurück; für Storage-Zeilen `content`, `disk`, `maxdisk`, `node`, `plugintype`, `shared`, `status`, `storage`, `type`. `[CITED: mehrere forum.proxmox.com-Threads, keine Feldliste in der offiziellen API-Referenz gefunden — API-Viewer ist eine reine Vue-App und liefert per Abruf keinen Text]`
+
+Gegenüber `/nodes/{node}/qemu` + `/nodes/{node}/lxc` (je Knoten zwei Aufrufe) ist `cluster/resources` der klare Gewinner für ein Übersichts-Dashboard: **eine** Anfrage liefert Knoten, VMs, Container und Storage über den gesamten (Multi-Node-)Cluster hinweg. Für Detailansichten einer einzelnen VM (z. B. Konfiguration) bleibt der gezielte `/nodes/{node}/qemu/{vmid}/...`-Pfad nötig — `cluster/resources` liefert nur die Übersichtsfelder, keine volle Konfiguration.
+
+### PBS: Datastores, Backups, Verify
+
+Aus Forenbelegen (keine vollständige Feldliste aus offizieller Referenz erreichbar):
+- `GET /api2/json/status/datastore-usage` — Belegung aller Datastores in einer Abfrage (Gesamt/Belegt/Frei). `[CITED: forum.proxmox.com/threads/inquiry-about-the-proxmox-backup-api.166986]`
+- `GET /api2/json/admin/datastore/{store}/status` — Status eines einzelnen Datastores.
+- `GET /api2/json/admin/datastore/{store}/snapshots` — Liste der Sicherungen; enthält laut Community-Doku ein `verification`/`verify-state`-Feld je Snapshot (Ergebnis der letzten Prüfung) sowie `backup-time`, `size`. **Exakte Feldnamen nicht aus Primärquelle bestätigt — `[ASSUMED]`, vor Bau gegen einen echten PBS-Server oder den API-Viewer im Browser verifizieren.**
+
+### PMG: Tageszahlen
+
+`GET /api2/json/statistics/mail` (optional `starttime`/`endtime`) liefert laut `pmgsh`-Community-Beleg `count`, `count_in`, `count_out`, `spamcount_in`, `spamcount_out`, `viruscount_in`, `viruscount_out`. `[CITED: forum.proxmox.com, Centreon-Plugin-Doku]` Ein Quarantäne-Zähler steht vermutlich unter einem separaten `/quarantine/...`-Pfad — nicht recherchiert, für die erste Fassung ggf. entbehrlich (siehe Fallstricke).
+
+### Nur-Lese-Rollen
+
+| Produkt | Rolle | Beleg |
+|---|---|---|
+| PVE | `PVEAuditor` — „read only access" | `[CITED: pve.proxmox.com/pve-docs/pveum-plain.html]` |
+| PBS | `Audit` (global) bzw. feiner `DatastoreAudit` — „Can view datastore metrics, settings and list content. But is not allowed to read the actual data." | `[CITED: pbs.proxmox.com/docs/user-management.html]` |
+| PMG | `Auditor` — „read-only access to the whole configuration, can access logs and view statistics" | `[CITED: mehrere Foren-/Datasheet-Quellen, keine Primärquelle mit exaktem Wortlaut erreicht]` |
+
+Empfehlung an den Admin-Helptext in den Einstellungen: für den API-Token/Benutzer, den Tessera nutzt, jeweils NUR diese Rolle zuweisen — ein Schreibrecht wird von diesem Modul nie gebraucht (deckt sich mit „NUR BEOBACHTEN").
+
+### Fehlerverhalten
+
+- **Falscher Zugang (Token/Passwort falsch):** HTTP 401. PVE-Foren-Belege zeigen 401 auch für andere Auth-Fehlklassen (abgelaufenes Ticket, falsches CSRF-Token) — Proxmox scheint 401 breiter zu verwenden als die übliche REST-Konvention 401=nicht authentifiziert/403=nicht berechtigt. **Nicht aus Primärquelle mit expliziter Statuscode-Tabelle bestätigt — `[ASSUMED]`.** Für die Fehlermeldung im UI heißt das: einen expliziten 403-Sonderfall separat von 401 zu behandeln lohnt sich vermutlich nicht; „Zugang abgelehnt (401)" als eine gemeinsame Meldung ist robuster als eine Unterscheidung, die die API evtl. gar nicht liefert.
+- **Abgelaufenes Ticket:** 401, Meldung enthält meist „invalid ticket"/„permission denied" im Klartext-Body — für eine bessere Fehlermeldung lohnt sich das Parsen des `errors`-Feldes der JSON-Antwort.
+- **Server nicht erreichbar (falsche Adresse, Netzwerk, Port zu):** **kein HTTP-Status** — der Fetch-Aufruf selbst schlägt fehl (`ECONNREFUSED`, `ETIMEDOUT`, `ENOTFOUND`/DNS-Fehler; bei `undici`/nativem `fetch` als geworfener `TypeError`/`FetchError`, nicht als Response mit Statuscode). Die Proxmox-Serviceklasse muss also zwei getrennte Fehlerpfade behandeln: HTTP-Antwort mit Statuscode ≠ 2xx (Zugang/Berechtigung) versus geworfene Exception ohne Response (Erreichbarkeit) — dieselbe Unterscheidung, die `icon-discovery.service.ts` mit seinem AbortController-Timeout + try/catch bereits trifft (`fetchWithRedirectGuard`, Zeilen 227–271: `catch { return null; }` fängt genau diesen Fall).
+
+## 2. Selbstsignierte Zertifikate
+
+**Vorlage 1 (Mechanik):** `apps/api/src/favorites/icon-discovery.service.ts:33–37` — Node 24s **globales** `fetch` ignoriert einen `Agent`/Dispatcher aus dem `undici`-Paket (andere Klasse als das intern gebündelte undici); nur `undiciFetch(url, { dispatcher })` (expliziter Import aus dem `undici`-Modul) respektiert einen eigenen Dispatcher. Gemessen und im Kommentar dokumentiert:
+> „`undiciFetch(url, { dispatcher: new Agent(...) })` -> Status 200; `globalThis.fetch` derselben URL -> DEPTH_ZERO_SELF_SIGNED_CERT." `[VERIFIED: apps/api/src/favorites/icon-discovery.service.ts:33-37]`
+
+`undici` ist bereits direkte Abhängigkeit von `apps/api` — `"undici": "7.28.0"` `[VERIFIED: apps/api/package.json:52]` — **kein neues Paket nötig**.
+
+**Vorlage 2 (Steuerung — besser geeignet als icon-discovery's Immer-an-Ausnahme):** `LdapConfig.tlsRejectUnauthorized Boolean @default(true)` `[VERIFIED: apps/api/prisma/schema.prisma:65-83, Feld "tlsRejectUnauthorized Boolean @default(true)" in Zeile 76]` — ein **pro Zeile umschaltbares** Feld, vom Admin beim Anlegen/Bearbeiten des Zugangs gesetzt, Default „prüfen" (sicherer Default). `ldap.service.ts` baut daraus die Client-Optionen:
+> „skip TLS verification" flag (`tlsRejectUnauthorized === false`)" `[VERIFIED: apps/api/src/ldap/ldap.service.ts:168]`
+
+**Für Proxmox kombinieren:** `ProxmoxServer` bekommt dasselbe Feld `tlsRejectUnauthorized Boolean @default(true)`. Der Fetch-Aufruf für genau diesen Server baut **conditional** einen `undici.Agent({ connect: { rejectUnauthorized: false } })` nur wenn diese eine Zeile das Feld auf `false` gesetzt hat — nicht wie in `icon-discovery.service.ts` eine für die ganze Datei geltende Modul-Konstante `LENIENT_TLS_AGENT`, sondern je Aufruf aus dem gelesenen Serverdatensatz konstruiert. Das erfüllt exakt die Vorgabe „ausdrücklich nur für die vom Administrator eingetragenen Adressen, nicht global": kein prozessweiter Bypass, keine `NODE_TLS_REJECT_UNAUTHORIZED`-Umgebungsvariable (dieses Muster ist im Kommentar von `icon-discovery.service.ts` bereits ausdrücklich als verboten markiert, Zeile 30: „insbesondere NICHT ueber die Node-Umgebungsvariable, die mit NODE_TLS_ beginnt" `[VERIFIED: apps/api/src/favorites/icon-discovery.service.ts:30]`).
+
+Standardmäßig Proxmox-Zertifikate akzeptieren zu **verweigern** (Default `true`) ist hier die richtige Entscheidung, anders als bei `icon-discovery.service.ts` (dort werden nur Favicons geholt, keine Zugangsdaten übertragen) — bei Proxmox gehen Token/Passwort über dieselbe Verbindung, ein blindes „immer tolerant" würde einen Site-in-the-Middle-Angriff auf die Zugangsdaten erleichtern.
+
+## 3. Anschlussstellen im Bestand
+
+### Verschlüsselte Zugangsdaten
+
+`CryptoService` (`apps/api/src/crypto/crypto.service.ts`) ist die einzige Verschlüsselungsschicht im Projekt — AES-256-GCM, Schlüssel aus `TESSERA_ENCRYPTION_KEY`, Format `iv:authTag:ciphertext` (hex, `:`-getrennt) `[VERIFIED: apps/api/src/crypto/crypto.service.ts:70-84]`. `LdapConfigService` zeigt das vollständige Muster: verschlüsseln beim Schreiben (`this.crypto.encrypt(dto.bindPassword)`), entschlüsseln zentral in EINER privaten Methode (`decryptBindPassword`), API-Antworten maskieren das Feld ('********') im Controller, nicht im Service `[VERIFIED: apps/api/src/ldap/ldap-config.service.ts:117-133]`. Für Proxmox: `encryptedTokenSecret`/`encryptedPassword` genauso behandeln — zwei Felder, weil Token-Secret und Passwort unterschiedliche Auth-Methoden sind, beide nullable (nur eines pro Zeile gesetzt, je nach gewähltem `authMethod`).
+
+**Migrationsbedarf beachten:** eine Spalte, die vor Verschlüsselung bereits Klartext trug, braucht einen einmaligen Nachzieh-Backfill wie in `ldap-config.service.ts` (`onApplicationBootstrap`, Regex `ENCRYPTED_VALUE_SHAPE` unterscheidet verschlüsselt/Klartext) `[VERIFIED: apps/api/src/ldap/ldap-config.service.ts:39, 66-101]` — für Proxmox als **neues** Feature ab Tag 1 irrelevant (keine Altdaten), nur als Muster relevant, falls später ein Feld umbenannt/neu verschlüsselt wird.
+
+### Hintergrundabfrage je Mandant
+
+**Zwei bestehende Muster, keins davon 1:1 übertragbar — kombinieren:**
+
+`DkvSchedulerService` zeigt das **Mandanten-Fan-out**: EIN Cron-Auftrag *je aktivem Mandant*, Registry-Name `dkv-inbox-poll:<tenantId>`, damit ein zweiter Mandant den ersten nicht verdrängt (behobener Fehler WINDOWS #21) `[VERIFIED: apps/api/src/dkv/dkv-scheduler.service.ts:16-46]`. Proxmox-Server sind aber (anders als DKV) potenziell **mehrere pro Mandant** — der Cron-Tick eines Mandanten muss also intern über dessen `ProxmoxServer`-Zeilen iterieren, nicht 1:1 wie bei DKV (1 Config = 1 Mandant).
+
+`DkvSchedulerService` hängt aber an `OnModuleInit`, nicht `OnApplicationBootstrap` `[VERIFIED: apps/api/src/dkv/dkv-scheduler.service.ts:1, "implements OnModuleInit"]` — **das ist NICHT das empfohlene Muster für einen neuen Dienst**. `TenderSchedulerService` erklärt im Kopfkommentar explizit, warum `OnApplicationBootstrap` die richtige Wahl ist:
+> „`onModuleInit` hooks run in an unspecified order relative to one another, so on a FRESH database the scheduler could read the config before it is seeded → see it absent/inactive → never register the ... cron ... → the platform ingests NOTHING until a second restart. `onApplicationBootstrap` runs after EVERY module's `onModuleInit`, so the seed is guaranteed complete before this reads." `[VERIFIED: apps/api/src/tenders/tender-scheduler.service.ts:29-38]`
+
+Dasselbe Risiko gilt für Proxmox: die `Module`-Seed-Zeile (Modulregistrierung) entsteht in `onModuleInit` des Proxmox-Moduls selbst; ein Scheduler, der beim Start die aktiven `ProxmoxServer`-Zeilen lädt, sollte dieses Risiko nicht eingehen, auch wenn hier keine Modul-Seed-Abhängigkeit vorliegt wie bei Tender — sicherer Standard ist trotzdem `OnApplicationBootstrap`, nicht das (mit einer dokumentierten, hier nicht zutreffenden Ausnahme begründete) `OnModuleInit` von DKV. Auch das nutzerseitige Erlebnis „frische Installation, erster Proxmox-Server angelegt, kein Neustart nötig" verlangt denselben `setInterval()`-Nachzieh-Aufruf wie bei DKV/Tender nach jedem Speichern in der Verwaltungsroute — nicht nur beim Boot.
+
+`Tender-Cron Bootstrap`-Erfahrung aus dem Projektgedächtnis bestätigt das Risiko real: „frische Prod-DB ohne Fix ingestiert nichts" — genau das Szenario, das `OnApplicationBootstrap` verhindert.
+
+### Modul-Registrierung
+
+Vollständiges Muster in `docs/anleitung-entwicklung.md`, Abschnitt „So entsteht ein neues Modul", am Beispiel Domaincheck — sechs Backend-Dateien, sechs Frontend-Dateien, siehe Code-Beispiele unten. Zusätzlich als Dashboard-Kachel: `WIDGET_TYPES`/`WIDGET_MODULE_SLUGS` in `packages/shared/src/index.ts` (aktuell leer, `[VERIFIED: packages/shared/src/index.ts:97-121]`) — Proxmox wäre die **erste** Kachel, die `WIDGET_MODULE_SLUGS['proxmox'] = 'proxmox'` tatsächlich befüllt.
+
+### Mandantentrennung
+
+`ProxmoxServer` braucht eine eigene `tenantId`-Spalte (mehrere Server je Mandant, klar `muss-mandantengebunden`, analog `CalendarSource`) — RLS-Migration mit `ENABLE ROW LEVEL SECURITY` + `CREATE POLICY` ist **Pflicht**, sonst schlägt `rls-coverage.spec.ts` Test 1 fehl (jedes Modell mit `tenantId` muss RLS haben) `[VERIFIED: apps/api/src/prisma/rls-coverage.spec.ts:102-106]`. Jeder Service-Zugriff muss über `forTenant(this.prisma, tenantId)` laufen (Konvention: lokale Konstante `const tenantPrisma = forTenant(...)`, keine andere Form), sonst schlägt `rls-access-inventory.spec.ts` fehl — UND jede (Datei, Modell)-Fundstelle muss in `docs/mandantentrennung-zugriffsklassifikation.md` als Tabellenzeile eingetragen werden, sonst schlägt derselbe Test ebenfalls fehl (`[VERIFIED: apps/api/src/prisma/rls-access-inventory.spec.ts:718-723]`, Test „jede im Quelltext gefundene (Datei, Modell)-Fundstelle ist im Dokument eingetragen"). Der Scheduler-Startpfad (liest ALLE Mandanten vor dem ersten `forTenant()`-Aufruf) braucht denselben `forSystem()`-Systemkontext wie `DkvSchedulerService`/`TenderSchedulerService` — und muss in `FORSYSTEM_ALLOWED_CALL_SITES` in `rls-access-inventory.spec.ts` eingetragen werden `[VERIFIED: apps/api/src/prisma/rls-access-inventory.spec.ts:169-175]`, sonst schlägt der Wachhund-Test „ein Anfrageweg darf den Systemkontext nie rufen" fehl.
+
+**Diese drei Testdateien sind harte Gates, keine Empfehlung** — ein Plan, der `ProxmoxServer`/`ProxmoxSnapshot` einführt, MUSS die Migration, die Klassifikationstabelle UND die Erlaubnisliste in derselben Aufgabe pflegen, sonst ist `pnpm --filter @tessera/api test` rot.
+
+### Zwischenlagerung vs. Live-Abfrage
+
+Siehe Summary — DKV (`DkvInvoiceHistory` `[VERIFIED: apps/api/prisma/schema.prisma:384-397]`) und Tender (`Tender` `[VERIFIED: apps/api/prisma/schema.prisma:435-480]`) schreiben beide Hintergrund-Polling-Resultate in eine eigene Tabelle; keine Seite in diesem Projekt holt Fremddaten live beim Rendern. Für Proxmox: ein `ProxmoxServerStatus`-Modell (1:1 oder 1:n je `ProxmoxServer`, mit `lastPolledAt`, `lastError`, und je nach Servertyp unterschiedlichen JSONB-Feldern für die Messwerte — PVE-Knoten/VM-Liste, PBS-Datastore-Liste, PMG-Tageszahlen) wird vom Scheduler beschrieben, Widget und Modulseite lesen ausschließlich daraus. Ein „Jetzt aktualisieren"-Knopf auf der Modulseite kann optional einen sofortigen Einzel-Poll auslösen (Vorbild: `DkvController` ruft nach Config-Speicherung `schedulerService.setInterval()` — derselbe Sofort-Trigger-Gedanke), sollte aber NICHT das Dashboard-Widget selbst live abfragen lassen.
+
+## 4. Fallstricke
+
+**Antwortgröße bei vielen VMs:** `cluster/resources` liefert bei einem größeren Cluster (zweistellige VM-Zahl je Knoten) potenziell hunderte Zeilen in einer JSON-Antwort — für die Zwischenlagertabelle unproblematisch (einmal je Poll-Intervall), aber falls die Modulseite später live filtert/sortiert, sollte serverseitig nicht bei jedem Klick neu gegen Proxmox gefragt werden, sondern gegen den Cache.
+
+**`/rrddata` für die erste Fassung: NEIN.** RRD-Zeitreihen (Verlaufsgraphen über Zeit) sind ein separates, aufwändigeres API-Segment (mehrere Zeitraster: hour/day/week/month/year, je Objekt ein eigener Aufruf) und für eine reine Beobachtungs-Übersicht („Zustand jetzt") nicht nötig — erst relevant, wenn später Verlaufsgraphen gewünscht werden.
+
+**Zähler sind Bytes/Ereignisse seit Start, nicht Bytes/Sekunde:** `netin`/`netout`/`diskread`/`diskwrite` in `cluster/resources` sind als COUNTER-Datenquellen definiert — kumulative Werte seit VM-Start, keine Rate `[CITED: mehrere Foren-Quellen, RRD-Datenquellen-Liste]`. Ein UI, das „aktueller Netzwerkdurchsatz" anzeigen will, muss selbst zwei aufeinanderfolgende Messungen differenzieren (Δ Wert / Δ Zeit) — eine einzelne Momentaufnahme zeigt nur „seit wann läuft die VM, wie viel kam insgesamt rein", was für eine erste Fassung ohnehin ausreicht, aber in der UI klar beschriftet werden sollte („gesamt seit Start", nicht „aktuell").
+
+**PMG-API-Token-Lücke ist ein echtes Bau-Risiko:** wenn der Admin für einen PMG-Server versehentlich „API-Token" wählt (falls die UI das nicht verhindert), scheitert jede Anfrage mit einer für den Nutzer unverständlichen Fehlermeldung. Muss in der Einstellungs-UI hart verhindert werden (Auswahl abhängig vom Servertyp), nicht nur dokumentiert.
+
+**Node 24 + `undici`-Dispatcher — dieselbe Falle wie in `icon-discovery.service.ts` dokumentiert:** wer aus Gewohnheit `fetch(...)` (globales, natives Fetch) statt `import { fetch as undiciFetch } from 'undici'` verwendet, bekommt bei einem `Agent`-Dispatcher **keinen Fehler beim Kompilieren**, sondern eine zur Laufzeit ignorierte Option — das selbstsignierte Zertifikat eines Proxmox-Testservers wird dann trotz `tlsRejectUnauthorized: false` weiterhin abgelehnt, was beim ersten Test verwirrend aussieht, als sei die Datenbank-Einstellung falsch gelesen worden.
+
+**CSRF-Falle vermieden, nicht vergessen:** weil dieses Modul nur liest, entfällt CSRF komplett (siehe Block 1) — ein künftiger Ausbau mit Schreibzugriffen (nicht Teil dieses Auftrags) müsste CSRF bei Ticket-Auth nachrüsten; das jetzt schon vorzusehen wäre verfrühte Komplexität.
+
+**Ticket-Lebensdauer 2 h bei Cron-Intervallen < 2 h kein Problem, aber Neu-Login-Logik nicht vergessen:** bei Benutzer/Passwort-Zugang muss der Scheduler bei 401 einmal automatisch neu einloggen (neues Ticket holen) und den Poll wiederholen, bevor er den Server als „nicht erreichbar" markiert — sonst erzeugt ein normaler Ticket-Ablauf alle zwei Stunden einen falschen Fehlalarm.
+
+## Standard Stack
+
+Keine neuen npm-Pakete. Alles Nötige ist bereits installiert:
+
+| Baustein | Bereits vorhanden | Verwendung für Proxmox |
+|---|---|---|
+| `undici` 7.28.0 | `[VERIFIED: apps/api/package.json:52]` | `undiciFetch` mit bedingtem Dispatcher, Vorbild `icon-discovery.service.ts` |
+| `@nestjs/schedule` (Cron) | bereits Basis von `DkvSchedulerService`/`TenderSchedulerService` | `ProxmoxSchedulerService` |
+| `class-validator`/`class-transformer` | bereits DTO-Standard im Projekt (`CheckDomainDto`, `CreateLdapConfigDto`, ...) | DTOs für Server-Anlegen/-Bearbeiten |
+| `CryptoService` (projekteigen) | `apps/api/src/crypto/crypto.service.ts` | Token-Secret/Passwort-Verschlüsselung |
+| Prisma 6.19.3 | bereits ORM-Standard | `ProxmoxServer`/`ProxmoxServerStatus`-Modelle |
+
+## Package Legitimacy Audit
+
+Nicht anwendbar — dieser Auftrag installiert keine externen Pakete (weder npm noch sonst). Die Recherche bestätigt ausdrücklich, dass `undici`/natives `fetch` für alle benötigten HTTP-Aufrufe genügen; keine Proxmox-Client-Bibliothek wird eingeführt, wie vom Auftrag verlangt.
+
+## Don't Hand-Roll
+
+| Problem | Nicht selbst bauen | Stattdessen | Warum |
+|---|---|---|---|
+| Verschlüsselung von Token-Secret/Passwort | eigenes Crypto-Schema | `CryptoService` (bestehend) | Einzige Verschlüsselungsschicht im Projekt, bereits geprüft (T-05-10), Schlüsselverwaltung über `TESSERA_ENCRYPTION_KEY` schon gelöst |
+| Selbstsigniertes Zertifikat tolerieren | eigener HTTPS-Agent/eigene TLS-Logik | `undici.Agent({ connect: { rejectUnauthorized } })`, bedingt pro Server | Bereits einmal im Projekt gemessen (icon-discovery), inkl. der Node-24-Falle |
+| Cron-Auftrag je Mandant | eigener Intervall-Mechanismus (`setInterval` global) | `SchedulerRegistry.addCronJob()` (DKV/Tender-Muster) | Bereits zweimal im Projekt gelöst, inkl. der Verdrängungs-Falle (WINDOWS #21) |
+
+## Code Examples
+
+### API-Token-Aufruf mit bedingtem TLS-Bypass (PVE)
+
+```ts
+// Muster: apps/api/src/favorites/icon-discovery.service.ts (Dispatcher-Mechanik)
+//         + apps/api/src/ldap/ldap.service.ts:168 (bedingtes tlsRejectUnauthorized)
+import { Agent, fetch as undiciFetch } from 'undici';
+
+async function fetchPveResources(server: {
+  baseUrl: string; // z.B. https://pve.example.internal:8006
+  tokenId: string; // user@realm!tokenname
+  tokenSecret: string; // entschluesselt, nur im Speicher
+  tlsRejectUnauthorized: boolean;
+}) {
+  const dispatcher = server.tlsRejectUnauthorized
+    ? undefined // Standardpfad: echte Zertifikatspruefung, kein Sonderfall
+    : new Agent({ connect: { rejectUnauthorized: false } }); // NUR fuer diesen einen Server
+
+  const response = await undiciFetch(
+    `${server.baseUrl}/api2/json/cluster/resources`,
+    {
+      dispatcher,
+      headers: {
+        Authorization: `PVEAPIToken=${server.tokenId}=${server.tokenSecret}`,
+      },
+    },
+  );
+
+  if (!response.ok) {
+    throw new Error(`PVE-Antwort ${response.status}`); // 401 = Zugang/Ticket ungueltig
+  }
+
+  return response.json(); // { data: [...] } — type vm|node|storage gemischt
+}
+```
+
+### Modul-Registrierung (Vorlage Domaincheck)
+
+```ts
+// apps/api/src/domaincheck/domaincheck.seed.ts — VERIFIED, so gelesen
+export async function seedDomaincheckModule(
+  moduleRegistryService: ModuleRegistryService,
+): Promise<void> {
+  await moduleRegistryService.seedModule({
+    slug: 'domaincheck',
+    name: 'Domaincheck',
+    version: '1.0.0',
+    category: 'domain-tools',
+    description: { de: '...', en: '...' },
+    isSystem: true,
+  });
+}
+```
+Für Proxmox: `slug: 'proxmox'`, eigene `category` (z.B. `'infrastructure'`), Controller mit `@Controller('modules/proxmox')` + `@UseModule('proxmox')` auf Klassenebene — exaktes Muster in `apps/api/src/domaincheck/domaincheck.controller.ts:1-8` `[VERIFIED]`.
+
+### Scheduler-Kombination (DKV-Mandanten-Fan-out + Tender-Bootstrap-Timing)
+
+```ts
+// Kombiniert: apps/api/src/dkv/dkv-scheduler.service.ts (Mandanten-Fan-out)
+//           + apps/api/src/tenders/tender-scheduler.service.ts (OnApplicationBootstrap)
+@Injectable()
+export class ProxmoxSchedulerService implements OnApplicationBootstrap {
+  // NICHT OnModuleInit — siehe tender-scheduler.service.ts Kopfkommentar:
+  // onModuleInit-Reihenfolge zwischen Modulen ist nicht garantiert.
+  async onApplicationBootstrap(): Promise<void> {
+    const systemPrisma = forSystem(this.prisma); // alle Mandanten sehen, vor Mandantenkontext
+    const servers = await systemPrisma.proxmoxServer.findMany({ where: { isActive: true } });
+    const byTenant = groupBy(servers, (s) => s.tenantId);
+    for (const [tenantId, tenantServers] of byTenant) {
+      this.setInterval(tenantId, tenantServers); // ein Cron-Auftrag je Mandant, wie DKV
+    }
+  }
+}
+```
+
+## Assumptions Log
+
+| # | Claim | Abschnitt | Risiko falls falsch |
+|---|---|---|---|
+| A1 | PMG unterstützt keine API-Token, nur Ticket-Login (Forenbeleg, keine Primärquelle mit explizitem Gegenteil-Zitat) | Block 1, Anmeldung — API-Token | Falls doch unterstützt: UI verbietet unnötig eine gültige Option. Falls nicht: ohne diese Prüfung entsteht ein PMG-Zugang, der nie funktioniert |
+| A2 | PBS/PMG-Ticket-Cookie heißt `PBSAuthCookie`/`PMGAuthCookie` (analog PVE) | Block 1, Anmeldung — Ticket | Falsche Cookie-Bezeichnung -> jede Ticket-Anfrage schlägt mit 401 fehl, obwohl Zugang korrekt ist |
+| A3 | Exakte Feldnamen der PBS-Snapshot-Liste (`verify-state`, `backup-time`, `size`) | Block 1, PBS | Falsche Feldnamen -> `undefined`-Werte in der UI statt eines klaren Fehlers, bis manuell gegen den API-Viewer geprüft |
+| A4 | Proxmox verwendet 401 breiter als übliche REST-Konvention (auch für Berechtigungsfehler, nicht nur Authentifizierung) | Block 1, Fehlerverhalten | Falls doch 403 vorkommt: UI zeigt „Zugang abgelehnt" statt einer treffenderen „Rolle reicht nicht"-Meldung — kosmetisch, kein Blocker |
+| A5 | PMG-Statistik-Endpunkt liefert keine eigene Quarantäne-Zahl unter `/statistics/mail` (separater Pfad vermutet, nicht recherchiert) | Block 1, PMG | Falls Quarantäne-Zahl doch im selben Aufruf steckt: unnötiger zweiter API-Aufruf in der ersten Fassung — kein Blocker, nur Ineffizienz |
+
+**Empfehlung:** A1–A3 vor dem ersten Implementierungs-Task als `checkpoint:human-verify` gegen einen echten PVE-/PBS-/PMG-Testserver bestätigen (der Auftrag nennt keinen erreichbaren Testserver für diese Recherche-Session — siehe Environment Availability).
+
+## Environment Availability
+
+Kein für diese Recherche erreichbarer PVE-/PBS-/PMG-Server bekannt oder im Auftrag genannt — anders als beim Windows-Test-VM- oder ViCoTest-Zugang aus dem Projektgedächtnis gibt es dafür keinen dokumentierten Zugriffsweg. Die API-Formen in diesem Dokument sind ausschließlich aus Doku/Forenbelegen zusammengetragen (siehe Assumptions Log), nicht live verifiziert. Der Planer sollte den ersten Implementierungs-Task so schneiden, dass ein `checkpoint:human-verify` (Anlegen eines echten Testzugangs durch den Nutzer) vor der Feldnamen-kritischen PBS/PMG-Arbeit steht — für PVE ist die Beleglage deutlich fester (offizielle `pveum-plain.html`/Wiki-Seite bestätigen Header-Form und CSRF-Verhalten wörtlich).
+
+| Abhängigkeit | Gebraucht für | Verfügbar (diese Recherche-Session) | Fallback |
+|---|---|---|---|
+| Erreichbarer PVE-Server | Verifikation `cluster/resources`-Feldnamen, Token-Header | ✗ | Foren-/Community-Beleg, `checkpoint:human-verify` vor Bau |
+| Erreichbarer PBS-Server | Verifikation Snapshot-/Verify-Feldnamen | ✗ | dito |
+| Erreichbarer PMG-Server | Verifikation Statistik-Feldnamen, Token-Unterstützung | ✗ | dito, höchste Priorität wegen A1 |
+
+## Validation Architecture
+
+### Test Framework
+| Property | Value |
+|---|---|
+| Framework | Vitest 3.2.6 (`apps/api`, `environment: 'node'`) `[VERIFIED: docs/anleitung-entwicklung.md, Abschnitt "Tests"]` |
+| Config file | `apps/api/vitest.config.ts` |
+| Quick run command | `pnpm --filter @tessera/api test` |
+| Full suite command | `pnpm test` (Root, über Turborepo beide Apps) |
+
+### Phase Requirements -> Test Map
+| Behavior | Test Type | Automated Command |
+|---|---|---|
+| Verschlüsselung/Entschlüsselung Token-Secret/Passwort | unit | `CryptoService` bereits getestet; neuer Roundtrip-Test analog `crypto.service.spec.ts` |
+| RLS-Abdeckung `ProxmoxServer`/`ProxmoxServerStatus` | guard | `pnpm --filter @tessera/api exec vitest run src/prisma/rls-coverage.spec.ts` |
+| Zugriffsklassifikation vollständig dokumentiert | guard | `pnpm --filter @tessera/api exec vitest run src/prisma/rls-access-inventory.spec.ts` |
+| Scheduler: ein Auftrag je Mandant, kein Verdrängen | unit | analog `dkv-scheduler.service.spec.ts` |
+| TLS-Bypass nur bei `tlsRejectUnauthorized === false` dieser einen Zeile | unit | neuer Test, Vorbild fehlt (icon-discovery hat keinen bedingten Pfad) — selbst schreiben |
+| `@UseModule('proxmox')` blockiert ohne Freigabe | unit | analog `module.guard.spec.ts` |
+| Widget verschwindet ohne Modulzugriff | unit | analog `widget-wrapper.test.tsx`/`widget-module-map.spec.ts` |
+
+### Sampling Rate
+- **Per Task Commit:** `pnpm --filter @tessera/api test`
+- **Per Wave Merge:** `pnpm test` (Root)
+- **Phase Gate:** volle Suite grün vor `/gsd-verify-work`
+
+### Wave 0 Gaps
+- Kein PVE/PBS/PMG-Testserver erreichbar (siehe Environment Availability) — Feldnamen-kritische Tests bleiben bis zur manuellen Verifikation mit gemockten Antworten gebaut, nicht gegen einen echten Server.
+
+## Security Domain
+
+### Applicable ASVS Categories (Level 1)
+
+| ASVS Category | Applies | Standard Control |
+|---|---|---|
+| V2 Authentication | ja (gegenüber Proxmox, nicht gegenüber Tessera-Nutzern) | Token/Passwort serverseitig gespeichert, nie an den Browser zurückgegeben (Maskierung wie `LdapConfigService`) |
+| V4 Access Control | ja | `@UseModule('proxmox')` + `ModuleAccessGate` (zweistufig, wie alle Module) |
+| V5 Input Validation | ja | `class-validator`-DTOs für Server-Adresse/Zugang (URL-Form, Enum für Typ/Auth-Methode) |
+| V6 Cryptography | ja | `CryptoService` (AES-256-GCM), niemals selbst hand-rollen |
+| V9 Communications | ja | TLS-Bypass ist die zentrale Bedrohung dieses Moduls — siehe unten |
+
+### Known Threat Patterns
+
+| Pattern | STRIDE | Standard Mitigation |
+|---|---|---|
+| TLS-Bypass leakt Zugangsdaten an MITM | Information Disclosure | Bypass nur pro Server-Zeile, Default „prüfen", niemals global/Umgebungsvariable (siehe Block 2) |
+| Gespeichertes Token/Passwort im Klartext lesbar bei DB-Dump | Information Disclosure | `CryptoService`-Verschlüsselung, Schlüssel getrennt vom DB-Backup aufbewahrt (bestehende Vorgabe, `docs/anleitung-entwicklung.md`) |
+| Fremdmandant liest Proxmox-Zugang eines anderen Mandanten | Elevation of Privilege | RLS auf `ProxmoxServer`/`ProxmoxServerStatus`, `forTenant()`-Bindung, Pflicht-Testabdeckung (siehe Anschlussstellen) |
+| Server-Antwort mit riesigem Payload (viele hundert VMs) legt den API-Prozess lahm | Denial of Service | Nur der Scheduler ruft Proxmox live auf (begrenzte Frequenz), die Modulseite liest immer aus dem Cache — kein ungebremster Nutzer-Trigger auf die Fremd-API |
+
+## Sources
+
+### Primary (HIGH confidence — aus tatsächlich gelesenem Projekt-Code)
+- `apps/api/src/favorites/icon-discovery.service.ts` — undici-Dispatcher-Mechanik, TLS-Bypass-Kommentar
+- `apps/api/src/ldap/ldap-config.service.ts`, `apps/api/src/ldap/crypto.service.ts` — Verschlüsselung, Systemkontext-Backfill
+- `apps/api/src/dkv/dkv-scheduler.service.ts`, `apps/api/src/tenders/tender-scheduler.service.ts` — Scheduler-Muster
+- `apps/api/prisma/schema.prisma` — `CalendarSource`, `LdapConfig`, `Module`/`TenantModuleActivation`, `Tender`, `DkvInvoiceHistory`
+- `apps/api/src/prisma/rls-coverage.spec.ts`, `apps/api/src/prisma/rls-access-inventory.spec.ts` — RLS-Gates
+- `docs/mandantentrennung-zugriffsklassifikation.md` — Klassifikationspflicht
+- `docs/anleitung-entwicklung.md` — Modul-/Kachel-Registrierungsmuster
+- `.planning/quick/260922-m1h-dashboard-widgets-ein-modul-bringt-seine/260922-m1h-SUMMARY.md` — Drei-Stellen-Kachel-Muster
+
+### Secondary (MEDIUM confidence — offizielle Proxmox-Doku, per WebFetch/WebSearch gelesen)
+- pve.proxmox.com/pve-docs/pveum-plain.html — API-Token-Header, PVEAuditor-Rolle
+- pve.proxmox.com/wiki/Proxmox_VE_API — Ticket-Endpunkt, CSRF-Verhalten
+- pbs.proxmox.com/docs/user-management.html — PBSAPIToken-Header, Audit/DatastoreAudit-Rollen
+
+### Tertiary (LOW confidence — Forenbelege, nicht in Primärdoku bestätigt)
+- forum.proxmox.com (mehrere Threads) — PMG-Token-Lücke, `cluster/resources`-Feldnamen, PBS-Snapshot-Felder, PMG-Statistik-Felder, RRD-Counter-Typ
+- pmg.proxmox.com/pmg-docs/pmg-admin-guide.html — Auditor-Rollenbeschreibung (aus Sekundärzitaten, nicht direkt aus dem Volltext extrahierbar — Dokument zu groß für den Abruf)
+
+## Metadata
+
+**Confidence breakdown:**
+- PVE-Auth/CSRF/Rollen: HIGH — offizielle Doku wörtlich zitiert
+- PBS-Auth/Rollen: HIGH (Auth-Header, Rollen), MEDIUM (Snapshot-Feldnamen, nur Forenbeleg)
+- PMG-Auth: LOW (Token-Unterstützung nicht in Primärquelle bestätigt) — als `checkpoint:human-verify` markiert
+- Bestandsmuster (Crypto/Scheduler/RLS/Modul-Registrierung): HIGH — aus gelesenem Code zitiert
+
+**Research date:** 2026-09-23
+**Valid until:** ~30 Tage für Bestandsmuster (stabil); Proxmox-API-Details sollten vor dem ersten Implementierungs-Task gegen einen echten Server nachgeprüft werden, unabhängig vom Datum (siehe Assumptions Log)

.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-SUMMARY.md

@@ -0,0 +1,295 @@
+---
+phase: quick-260923-dhh
+plan: 01
+subsystem: infrastructure
+tags: [proxmox, pve, pbs, pmg, undici, scheduler, rls, module-registry, nestjs, next-intl]
+dependency-graph:
+  requires: []
+  provides: [proxmox-module, proxmox-server-model, proxmox-background-poller]
+  affects: [apps/api/src/proxmox, apps/web/src/app/(portal)/modules/proxmox, apps/web/src/lib/proxmox-api.ts]
+tech-stack:
+  added: []
+  patterns:
+    - "undiciFetch statt globalem fetch fuer einen bedingten TLS-Dispatcher (zweites, unabhaengiges Auftreten nach icon-discovery.service.ts)"
+    - "Nur-Lese-Riegel per Quelltext-Analyse (proxmox-nur-lesen.spec.ts), Vorbild rls-access-inventory.spec.ts"
+    - "Scheduler kombiniert DkvSchedulerService-Mandanten-Fan-out mit TenderSchedulerService-onApplicationBootstrap-Timing"
+    - "select ohne Geheimnisfelder statt nachtraeglicher Maskierung"
+key-files:
+  created:
+    - apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql
+    - apps/api/src/proxmox/proxmox.types.ts
+    - apps/api/src/proxmox/proxmox-auth.ts
+    - apps/api/src/proxmox/proxmox-client.service.ts
+    - apps/api/src/proxmox/proxmox-normalize.ts
+    - apps/api/src/proxmox/proxmox.service.ts
+    - apps/api/src/proxmox/proxmox-scheduler.service.ts
+    - apps/api/src/proxmox/proxmox.controller.ts
+    - apps/api/src/proxmox/proxmox.module.ts
+    - apps/api/src/proxmox/proxmox.seed.ts
+    - apps/api/src/proxmox/dto/proxmox-server.dto.ts
+    - apps/api/src/proxmox/proxmox-nur-lesen.spec.ts
+    - apps/web/src/app/(portal)/modules/proxmox/page.tsx
+    - apps/web/src/app/(portal)/modules/proxmox/layout.tsx
+    - apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+    - apps/web/src/app/(portal)/modules/proxmox/settings/page.tsx
+    - apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx
+    - apps/web/src/lib/proxmox-api.ts
+  modified:
+    - apps/api/prisma/schema.prisma
+    - apps/api/src/app.module.ts
+    - apps/api/src/prisma/rls-access-inventory.spec.ts
+    - apps/web/src/lib/module-loader.ts
+    - apps/web/src/messages/de.json
+    - apps/web/src/messages/en.json
+    - apps/web/src/messages/umlaut-dictionary.ts
+    - docs/mandantentrennung-zugriffsklassifikation.md
+    - docs/anleitung-entwicklung.md
+    - docs/anleitung-anwender.md
+decisions:
+  - "D-01 bis D-11 aus dem Plan woertlich umgesetzt, keine Abweichung."
+  - "proxmoxGet uebergibt bewusst KEIN method-Feld an undiciFetch (GET ist der Grundwert) — dadurch ist loginTicket() in proxmox-auth.ts die einzige Stelle, die ein Anfrageverfahren explizit uebergibt, und proxmox-nur-lesen.spec.ts kann das maschinell auf genau EINS pruefen."
+  - "Ticket-Erneuerung sitzt je POLL-DURCHLAUF, nicht je Aufruf: ein PBS-Durchlauf mit mehreren Folgeabfragen (Belegung + je Datenspeicher Sicherungen) loggt sich bei 401 hoechstens einmal neu ein, nicht einmal je Anfrage."
+  - "proxmox.service.ts ist der EINZIGE forSystem()-Aufrufer des Moduls (loadActiveServersForScheduler) — in FORSYSTEM_ALLOWED_CALL_SITES eingetragen, Stand von ProxmoxServer auf system-gebunden gehoben."
+  - "docs/anwenderhandbuch.md aus dem Plan existiert nicht im Repo — der echte Dateiname ist docs/anleitung-anwender.md; dort den Proxmox-Abschnitt eingefuegt (Rule 3)."
+metrics:
+  duration: "~5h (Session unterbrochen und fortgesetzt)"
+  completed: 2026-09-23
+actuals:
+  tokens: 50829
+  tasks: 7
+  commits: 7
+plan_head_before: ec9c779
+status: complete
+---
+
+# Quick 260923-dhh: Proxmox-Modul (PVE/PBS/PMG) — nur beobachten Summary
+
+Vollstaendiges Proxmox-Modul (Datenbank, Dienst, API, Hintergrundabfrage je Mandant, Einstellungsseite, Modulseite, Dokumentation) — PVE/PBS/PMG werden per API-Token (PVE/PBS) oder Ticket-Anmeldung (alle drei) nur gelesen, kein Weg im Modul veraendert je etwas bei Proxmox.
+
+## Gemessene Torzahlen
+
+| Tor | Ausgangswert (23.09., vor Beginn) | Endstand (nach Aufgabe 7) |
+|---|---|---|
+| `pnpm --filter @tessera/api test` | 1240 Tests, 77 Dateien | **1311 Tests, 82 Dateien** |
+| `pnpm --filter @tessera/web test` | 693 Tests, 82 Dateien | **708 Tests, 84 Dateien** |
+| `rls-coverage.spec.ts` / `rls-access-inventory.spec.ts` | 5 / 30 | **5 / 30** (unveraendert gruen) |
+| `proxmox-nur-lesen.spec.ts` | (existierte nicht) | **2 Tests, gruen** |
+| `pnpm type-check` | 4/4 | **4/4** |
+| `pnpm lint` | 5/5 | **5/5** |
+| Biome-Warnungen in `apps/web` | 53 | **53** (exakt unveraendert) |
+
+## Performance
+
+- **Duration:** ~5h (inklusive einer Unterbrechung durch Nutzungslimit, an derselben Stelle fortgesetzt)
+- **Tasks:** 7/7
+- **Files modified:** 34 (18 neu, 16 geaendert)
+
+## Accomplishments
+
+- `ProxmoxServer`/`ProxmoxServerStatus` mit RLS (`tenant_isolation_policy` auf beiden,
+  `system_read_policy` zusaetzlich auf `ProxmoxServer` fuer den Planer-Startpfad)
+- `proxmox-auth.ts` als einzige Stelle, die Kopfzeilen/Cookies baut: Token-Schema je Produkt
+  (PVE `=`, PBS `:`, PMG lehnt ab) und Ticket-Anmeldung (die einzige nicht-lesende Anfrage
+  des Moduls)
+- `proxmox-client.service.ts`/`proxmox-normalize.ts`: nachsichtige Fehler-/Feldbehandlung,
+  sieben stabile Fehlerschluessel, nie ein Wurf bei unerwarteter Form
+- `proxmox-scheduler.service.ts`: ein Cron-Auftrag je Mandant (`proxmox-poll:<tenantId>`),
+  `onApplicationBootstrap`, Abfrageintervall = kleinstes `pollIntervalMin` der aktiven Server
+- Einstellungsseite (anlegen/bearbeiten/loeschen/testen) und Modulseite (Serverliste mit
+  produktabhaengiger Auslastung, `null` immer als „unbekannt")
+- Anwenderhandbuch- und Entwicklungsanleitung-Abschnitte, Zugriffsklassifikation vollstaendig
+  nachgezogen
+
+## Task Commits
+
+Jede Aufgabe wurde einzeln committet:
+
+1. **Aufgabe 1: PVE per Token, Ende-zu-Ende** — `3a1bfd9` (feat)
+2. **Aufgabe 2: Benutzer/Passwort, Fehlerklassen, Nur-Lesen-Riegel** — `4f8a368` (test)
+3. **Aufgabe 3: PBS und PMG auswerten** — `998aba9` (feat)
+4. **Aufgabe 4: Hintergrundabfrage je Mandant, Verbindungstest** — `fccaf8d` (feat)
+5. **Aufgabe 5: Einstellungsseite (anlegen, bearbeiten, loeschen, testen)** — `723cf68` (feat)
+6. **Aufgabe 6: Modulseite mit Auslastung** — `06fcdc0` (feat)
+7. **Aufgabe 7: Dokumentation und Nachmessung aller Tore** — `3091b04` (docs)
+
+_Kein separater Metadaten-Commit — STATE.md/SUMMARY.md werden laut Auftrag nicht committet._
+
+## Files Created/Modified
+
+Siehe `key-files` im Frontmatter — vollstaendige Liste, hier die wichtigsten:
+
+- `apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql` — RLS-Migration,
+  von Hand geschrieben (Vorbild `20260923120000_dashboard_tabs`)
+- `apps/api/src/proxmox/proxmox-client.service.ts` — `proxmoxGet`, `classifyFailure`,
+  `parseJsonLenient`
+- `apps/api/src/proxmox/proxmox-auth.ts` — `buildTokenAuthHeader`, `loginTicket`,
+  `buildTicketCookieHeader`
+- `apps/api/src/proxmox/proxmox-normalize.ts` — `normalizePve`/`normalizePbs`/`normalizePmg`
+  plus `readNumber`/`readText`/`readBool`/`readList`
+- `apps/api/src/proxmox/proxmox.service.ts` — CRUD, Poll-Logik, Zehn-Sekunden-Sperre,
+  `loadActiveServersForScheduler` (einziger `forSystem()`-Aufruf)
+- `apps/api/src/proxmox/proxmox-scheduler.service.ts` — Planer je Mandant
+- `apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx` — einzige Stelle,
+  die einen Messwert in Text verwandelt
+
+## Decisions Made
+
+Siehe `decisions` im Frontmatter. Zusaetzlich zwei technische Entwurfsentscheidungen, die der
+Plan nicht bis auf diese Ebene vorschrieb:
+
+- **Signatur `proxmoxGet(target, path)`:** `target` traegt fertige Kopfzeilen
+  (`{ baseUrl, tlsRejectUnauthorized, headers }`), gebaut ausschliesslich von `proxmox-auth.ts`
+  — der Klient selbst kennt keine Anmeldeform, nur HTTP-Transport und Fehlerklassifikation.
+- **`proxmox-nur-lesen.spec.ts` erkennt Aufrufformen ueber Klammertiefen-Bilanzierung**
+  (nicht per einfachem Zeilen-Regex), weil Proxmox-Pfade und `proxmoxGet(`/`getWithRetry(`-
+  Aufrufe im Quelltext ueber mehrere Zeilen verteilt sind.
+
+## Deviations from Plan
+
+### Auto-fixed Issues
+
+**1. [Rule 3 - Blocking] `docs/anwenderhandbuch.md` existiert nicht im Repo**
+- **Found during:** Aufgabe 7
+- **Issue:** Das Plan-Frontmatter nennt `docs/anwenderhandbuch.md` als zu aendernde Datei; diese
+  Datei gibt es im Repository nicht. Der tatsaechliche Anwenderhandbuch-Dateiname ist
+  `docs/anleitung-anwender.md` (bestaetigt per `git log --diff-filter=A`).
+- **Fix:** Den Proxmox-Abschnitt in `docs/anleitung-anwender.md` eingefuegt statt eine neue,
+  falsch benannte Datei anzulegen.
+- **Files modified:** `docs/anleitung-anwender.md`
+- **Verification:** Datei existiert, Abschnitt „Proxmox" lesbar, Modulzahl „vier" auf „fuenf"
+  korrigiert.
+- **Committed in:** `3091b04` (Aufgabe-7-Commit)
+
+**2. [Rule 3 - Blocking] Umlaut-Regressionswaechter (`umlaut-guard.spec.ts`) schlug fehl**
+- **Found during:** Aufgabe 5 und erneut Aufgabe 6
+- **Issue:** Neue, bereits korrekte deutsche Woerter mit „ss" (`bewusst`, `gemessene`,
+  `Messung`, `Prozessorlast`) in den neuen `de.json`-Texten wurden vom Waechter als
+  moegliche ae/oe/ue/ss-Ersatzschreibung markiert, weil sie noch nicht auf der Positivliste
+  standen.
+- **Fix:** Alle vier Woerter zu `UMLAUT_ALLOWLIST` in `apps/web/src/messages/umlaut-dictionary.ts`
+  hinzugefuegt (kein Ersatzschreibung — bereits korrektes Deutsch).
+- **Files modified:** `apps/web/src/messages/umlaut-dictionary.ts`
+- **Verification:** `umlaut-guard.spec.ts` gruen, `pnpm --filter @tessera/web test` vollstaendig
+  gruen.
+- **Committed in:** `723cf68` (Aufgabe 5), `06fcdc0` (Aufgabe 6)
+
+**3. [Rule 3 - Blocking] `proxmox-nur-lesen.spec.ts` erkannte den `getWithRetry`-Umschlag nicht**
+- **Found during:** Aufgabe 3 (beim Einbau der PBS-Mehrfachabfrage)
+- **Issue:** Der urspruengliche Riegel erkannte Proxmox-Pfade nur innerhalb direkter
+  `proxmoxGet(...)`-Aufrufe; nach der Extraktion der Ticket-Erneuerung in einen privaten
+  Umschlag `getWithRetry()` (Aufgabe 2/3) lagen alle Pfade jetzt in dessen Argumenten, nicht
+  mehr direkt in `proxmoxGet(...)`.
+- **Fix:** Die erlaubte Aufrufform-Liste um `getWithRetry` erweitert (dokumentierte Ausnahme,
+  selbst durch dieselbe erste Aussage des Riegels abgesichert: `getWithRetry` ruft
+  ausschliesslich `proxmoxGet`).
+- **Files modified:** `apps/api/src/proxmox/proxmox-nur-lesen.spec.ts`
+- **Verification:** Beide Aussagen des Riegels gruen, bewusster Test bestaetigt weiterhin genau
+  eine `undiciFetch`-Methodenstelle.
+- **Committed in:** `998aba9` (Aufgabe 3)
+
+---
+
+**Total deviations:** 3 auto-fixed (alle Rule 3 — blockierende Fehler beim Ausfuehren, keine
+davon eine architektonische Entscheidung)
+**Impact on plan:** Keine Abweichung vom fachlichen Umfang des Plans; alle drei Korrekturen
+waren notwendig, damit die vom Plan selbst verlangten Tore (Aufgabe 7: alle Testsuiten gruen)
+ueberhaupt erreichbar waren.
+
+## Issues Encountered
+
+Die Ausfuehrung wurde durch ein Nutzungslimit mitten in Aufgabe 4 unterbrochen (nach dem
+Schreiben von `proxmox-scheduler.service.ts` und dem Wiring in `proxmox.controller.ts`/
+`proxmox.module.ts`, vor dem Schreiben der zugehoerigen Testdatei). Nach Fortsetzung wurde der
+Stand anhand von `git status`/`git log` verifiziert und exakt an der protokollierten Stelle
+weitergearbeitet — keine Wiederholung bereits committeter Aufgaben.
+
+## User Setup Required
+
+**Es gibt in dieser Umgebung keinen echten PVE-/PBS-/PMG-Server.** Alle Tests laufen gegen
+erfundene Antworten in der von der Recherche dokumentierten Form (`vi.mock('undici', …)`).
+Folgende Annahmen der Recherche sind vor dem ersten echten Test explizit zu bestaetigen bzw.
+bei Abweichung an genau einer Stelle nachzuziehen:
+
+- **Annahme A2 — Ticket-Cookie-Namen fuer PBS/PMG:** `PBSAuthCookie`/`PMGAuthCookie` sind aus
+  dem PVE-Muster ABGELEITET, nicht aus Primaerdoku bestaetigt. Nachzuziehende Stelle:
+  `TICKET_COOKIE_NAME` in `apps/api/src/proxmox/proxmox-auth.ts`.
+- **Annahme A3 — PBS-Belegungs-/Snapshot-Feldnamen:** `store`/`total`/`used`/`avail` und
+  `backup-time`/`verification` sind aus Forenbelegen abgeleitet. Nachzuziehende Stelle:
+  `PBS_USAGE_FIELDS`/`PBS_SNAPSHOT_FIELDS` in `apps/api/src/proxmox/proxmox-normalize.ts`
+  (mehrere plausible Namen je Feld moeglich, der Leser nimmt den ersten vorhandenen).
+- **Annahme A5 — PMG-Statistikfelder:** `count_in`/`count_out`/`spamcount_in`/`spamcount_out`/
+  `viruscount_in`/`viruscount_out` sind aus `pmgsh`-Community-Belegen abgeleitet.
+  Nachzuziehende Stelle: `PMG_STATS_FIELDS` in `apps/api/src/proxmox/proxmox-normalize.ts`.
+- **NUR-LESE-Rollen am Proxmox-Server selbst anlegen** (aus dem Plan-Frontmatter
+  `user_setup`, unveraendert offen): PVE `PVEAuditor`, PBS `Audit`/`DatastoreAudit`,
+  PMG `Auditor` — je Produkt fuer den Zugang, den Tessera nutzt.
+
+Weicht die Wirklichkeit an einer dieser Stellen ab, zeigt die Modulseite dank der
+nachsichtigen Leser „unbekannt" statt eines Absturzes, und die gekuerzte Rohantwort bleibt im
+Zwischenlager erhalten (`rawSample`, bis 20 000 Zeichen) — der Nutzer sieht darin, wie das
+Feld tatsaechlich heisst.
+
+## Known Stubs
+
+Keine — jede in `<must_haves>` genannte Wahrheit ist durch mindestens einen automatisierten
+Test belegt (siehe Aufgaben 1–6). Die drei oben genannten Annahmen sind keine Stubs, sondern
+dokumentierte, noch nicht am echten Server bestaetigte Feldnamen — die Auswertung fuer sie ist
+vollstaendig gebaut, nur ihre exakten externen Namen sind ungeprueft.
+
+## Next Phase Readiness
+
+- Das Modul ist vollstaendig gebaut und alle automatisierten Tore sind gruen; die
+  Dashboard-Kachel (D-11) ist bewusst nicht Teil dieses Auftrags und folgt separat
+  (`WIDGET_TYPES`/`WIDGET_MODULE_SLUGS`/`registerWidget`, siehe
+  `docs/anleitung-entwicklung.md`, Abschnitt „Eine Kachel zum Modul").
+- **Blocker fuer den naechsten Schritt:** keiner auf Code-Ebene. Der Nutzer muss das Modul
+  gegen mindestens einen echten PVE-/PBS-/PMG-Server pruefen (siehe „User Setup Required"),
+  bevor die drei Annahmen als bestaetigt gelten koennen.
+- Container wurden in dieser Ausfuehrung bewusst NICHT neu gebaut/neu gestartet und es wurde
+  keine Browser-Pruefung durchgefuehrt (Auftragsvorgabe) — das uebernimmt der Nutzer bzw. eine
+  spaetere Sitzung.
+
+---
+*Phase: quick-260923-dhh*
+*Completed: 2026-09-23*
+
+## Self-Check: PASSED
+
+All 24 files listed under `key-files` (created + modified) verified present on disk. All 7
+task commits (`3a1bfd9`, `4f8a368`, `998aba9`, `fccaf8d`, `723cf68`, `06fcdc0`, `3091b04`)
+verified present in `git log`.
+
+## Nachbesserungen aus dem Rundgang
+
+Drei Befunde aus dem menschlichen Browser-Rundgang zu diesem Modul wurden behoben — Details,
+Tasks und Tests in einem eigenen Quick-Task:
+[260923-ku6-drei-nachbesserungen-aus-dem-browser-run](../260923-ku6-drei-nachbesserungen-aus-dem-browser-run/260923-ku6-SUMMARY.md)
+(Commits `710034c`, `f1bb7f7`).
+
+**Befund 1 (wichtig): „Verbindung testen" pruefte den gespeicherten Stand, nicht das
+Formular.** Eine im Formular abgeschaltete Zertifikatspruefung oder ein neu eingetipptes
+Token-/Passwort-Geheimnis wurden vom Test ignoriert und griffen erst nach „Speichern" — eine
+Falle fuer den naheliegenden Ablauf (eintippen, testen, dann erst speichern). Behoben durch ein
+neues `TestProxmoxServerDto` samt Merge-Baustein `resolveEffectiveTestServer` in
+`ProxmoxService`: normale Formularfelder gewinnen immer (auch wenn absichtlich geleert),
+Geheimnisfelder behalten die bestehende „leer gelassen -> gespeicherten Wert weiterverwenden"-
+Regel aus `updateServer`, weil `ServerForm` sie beim Laden nie aus der Datenbank vorbefuellt.
+Neue Route `POST servers/test` (ohne `:id`) deckt denselben Test waehrend der Neuanlage ab, wo
+es noch keinen gespeicherten Server gibt; der Testen-Knopf steht jetzt immer zur Verfuegung,
+nicht mehr erst nach dem ersten Speichern.
+
+**Befund 2 (wichtig): falsche Meldung fuer „noch nie abgefragt".** Ein frisch angelegter
+Server zeigte „Letzte Abfrage: unbekannt" UND faelschlich „Ein unerwarteter Fehler ist
+aufgetreten" — die leere Zwischenlagerzeile aus `createServer` hat `reachable: false` und
+`errorKind: null`, was bisher blind in die Fehleruebersetzung `unbekannt` lief. Behoben durch
+einen eigenen, ruhigen Zustand fuer `status.lastPolledAt === null`, der auf „Jetzt
+aktualisieren" verweist; die bestehenden Fehlermeldungen (inkl. `unbekannt` fuer echte
+unbekannte Fehler) bleiben fuer bereits abgefragte, aber nicht erreichbare Server unveraendert.
+
+**Befund 3 (kosmetisch): die Adresse wurde in Grossbuchstaben angezeigt.** Die Klasse
+`uppercase` sass auf der ganzen Statuszeile statt nur auf dem Produktkuerzel und faerbte
+dadurch auch die Adresse gross. Jetzt nur noch auf dem Produktkuerzel (`<span>`).
+
+**Zahlen nach der Nachbesserung:** api 1311 → 1316 Tests, web 708 → 712 Tests, type-check
+4/4, lint 5/5, Biome `apps/web` weiterhin exakt 53 Warnungen. Container wurden nicht neu
+gebaut, keine Browser-Pruefung in diesem Lauf (macht der Orchestrator danach).

.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-VERIFICATION.md

@@ -0,0 +1,126 @@
+---
+phase: quick-260923-dhh
+verified: 2026-09-23T14:58:00Z
+status: gaps_found
+score: 8/9 must-haves verified
+covered_files: [".planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-PLAN.md", ".planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-RESEARCH.md", ".planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-SUMMARY.md", "apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql", "apps/api/prisma/schema.prisma", "apps/api/src/prisma/rls-access-inventory.spec.ts", "apps/api/src/proxmox/dto/proxmox-server.dto.ts", "apps/api/src/proxmox/proxmox-auth.ts", "apps/api/src/proxmox/proxmox-client.service.spec.ts", "apps/api/src/proxmox/proxmox-client.service.ts", "apps/api/src/proxmox/proxmox-normalize.spec.ts", "apps/api/src/proxmox/proxmox-normalize.ts", "apps/api/src/proxmox/proxmox-nur-lesen.spec.ts", "apps/api/src/proxmox/proxmox-scheduler.service.spec.ts", "apps/api/src/proxmox/proxmox-scheduler.service.ts", "apps/api/src/proxmox/proxmox.controller.ts", "apps/api/src/proxmox/proxmox.module.ts", "apps/api/src/proxmox/proxmox.seed.ts", "apps/api/src/proxmox/proxmox.service.spec.ts", "apps/api/src/proxmox/proxmox.service.ts", "apps/api/src/proxmox/proxmox.types.ts", "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx", "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx", "apps/web/src/app/(portal)/modules/proxmox/layout.tsx", "apps/web/src/app/(portal)/modules/proxmox/page.tsx", "apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx", "apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx", "apps/web/src/app/(portal)/modules/proxmox/settings/page.tsx", "apps/web/src/lib/module-loader.ts", "apps/web/src/lib/proxmox-api.ts", "apps/web/src/messages/de.json", "apps/web/src/messages/en.json", "apps/web/src/messages/umlaut-dictionary.ts", "docs/anleitung-anwender.md", "docs/anleitung-entwicklung.md", "docs/mandantentrennung-zugriffsklassifikation.md"]
+covered_digest: "v1:sha256:2ee19956636c68304958254f2e1d979a6763c3fae7dc11cd781fe24d56e498e8"
+behavior_unverified: 0
+overrides_applied: 0
+gaps:
+  - truth: "Ein fehlendes, anders benanntes oder falsch typisiertes Feld einer Proxmox-Antwort fuehrt zu unbekannt in der Anzeige, nie zu einem Absturz, einer leeren Seite oder einem stillen Falschwert."
+    status: partial
+    reason: "normalizePmg() kombiniert spamcount_in/spamcount_out (und viruscount_in/viruscount_out) ueber sumOrNull(a, b), das einen fehlenden Teilwert stillschweigend als 0 behandelt statt die Summe als unbekannt zu markieren. sumOrNull(10, null) liefert 10 — dieser Wert erscheint in der Modulseite als vollstaendige Tageszahl 'Spam: 10', obwohl eine der beiden Quellfelder (spamcount_out) fehlte oder anders heisst. Genau dieses Szenario ist der zentrale Risikofall des Moduls: PMG-Feldnamen sind Annahme A5 (Forenbeleg, unbestaetigt), und ein teilweise falscher, aber plausibel aussehender Wert ist laut eigenem Kommentar in proxmox-normalize.ts ('ein still falscher Wert waere schlimmer als ein ehrliches unbekannt') genau das, was das Modul verhindern soll. Alle uebrigen Einzelwerte (readNumber/readText/readBool je Feld, PBS readFirstPresent-Alternativnamen) sind korrekt nachsichtig und liefern bei fehlendem Feld null — nur diese eine Aggregation (zwei Teilwerte zu einer Summe) durchbricht das Muster."
+    artifacts:
+      - path: "apps/api/src/proxmox/proxmox-normalize.ts"
+        issue: "sumOrNull(a, b) (Zeile 240-243) gibt (a??0)+(b??0) zurueck, sobald mindestens einer von a/b nicht null ist — ein fehlender Halbwert wird als 0 addiert statt die Summe auf null zu setzen. Betrifft spamCount und virusCount in normalizePmg()."
+    missing:
+      - "sumOrNull so aendern, dass die Summe null ist, sobald a ODER b null ist (nicht erst wenn beide null sind) — oder spamCount/virusCount nur berechnen, wenn beide Teilwerte vorhanden sind."
+      - "Test in proxmox-normalize.spec.ts ergaenzen: 'nur spamcount_in vorhanden, spamcount_out fehlt' -> spamCount muss null sein, nicht der Teilwert."
+---
+
+# Quick 260923-dhh: Proxmox-Modul (PVE/PBS/PMG) — nur beobachten Verification Report
+
+**Goal:** PVE/PBS/PMG per Modul beobachten (nicht veraendern): Server in den Einstellungen anlegen mit verschluesseltem Zugang, Zertifikatsfehler nur je Server dulden, Hintergrundabfrage mit Zwischenlager, Modulseite mit Serverliste und Auslastung, Verbindungstest mit Klartext-Ursache.
+**Verified:** 2026-09-23T14:58Z
+**Status:** gaps_found
+**Re-verification:** No — initial verification
+
+## Goal Achievement
+
+### Observable Truths
+
+| # | Truth | Status | Evidence |
+|---|-------|--------|----------|
+| 1 | Kein Weg im Modul veraendert etwas bei Proxmox; die einzige Nicht-GET-Anfrage ist die Ticket-Anmeldung, maschinell nachgezaehlt | ✓ VERIFIED | `proxmox-nur-lesen.spec.ts` liest den Quelltext (Klammertiefen-Bilanzierung), zaehlt genau 1 `method:`-Uebergabe an `undiciFetch` in `proxmox-auth.ts`, und verlangt, dass jeder API-Pfad ausserhalb der Ticket-Anmeldung durch `proxmoxGet`/`getWithRetry` laeuft. `getWithRetry` (proxmox.service.ts:275) ruft ausschliesslich `proxmoxGet` — keine verdeckte zweite Schreibstelle. Grep ueber `apps/api/src/proxmox` bestaetigt: kein bare `fetch(` ausserhalb `undiciFetch`. Test lief gruen (2/2). |
+| 2 | Administrator legt Server (Name, Typ, Adresse, Zugang) an; Geheimnis nie im Klartext sichtbar | ✓ VERIFIED | `createServer`/`updateServer` verschluesseln via `CryptoService`; `SAFE_SERVER_SELECT` (proxmox.service.ts:26-42) waehlt `encryptedTokenSecret`/`encryptedPassword` nicht aus — die Felder verlassen die DB nie. `proxmox.service.spec.ts` bestaetigt `'encryptedTokenSecret' in list[0]` ist `false`. Frontend `ServerForm.tsx`: Geheimnisfelder immer leer geladen (`tokenSecret: ''`, `password: ''`), leer gelassen = unveraendert (Backend-Logik in `updateServer`). |
+| 3 | PVE/PBS: Token ODER Passwort; PMG nur Passwort, Token-Feld verschwindet und wird serverseitig abgelehnt | ✓ VERIFIED | `ServerForm.tsx`: `{form.productType !== 'pmg' && <option value="token">...}` — Token-Option fehlt bei PMG. `PmgOhneTokenConstraint` im DTO UND zusaetzliche Pruefung in `updateServer` gegen den EFFEKTIVEN Stand (verhindert Umgehung ueber Teil-Updates). `buildTokenAuthHeader('pmg', ...)` wirft. Getestet in `proxmox-client.service.spec.ts` (DTO-Validierung PMG+Token). |
+| 4 | Zertifikatsfehler nur je Server geduldet, Default "pruefen" | ✓ VERIFIED | `proxmoxGet`/`loginTicket` bauen den `Agent`-Dispatcher JE AUFRUF aus `target.tlsRejectUnauthorized` der jeweiligen Zeile — kein Modul-Singleton, keine Env-Variable. DTO-Default `tlsRejectUnauthorized ?? true`. Test bestaetigt: `true` → kein Dispatcher, `false` → genau ein `Agent` mit `rejectUnauthorized: false`. |
+| 5 | Modulseite und jede Anzeige lesen ausschliesslich aus dem Zwischenlager | ✓ VERIFIED | `GET servers` → `listWithStatus()` liest nur aus der DB (kein `proxmoxGet`-Aufruf). `page.tsx`/`ServerCard.tsx` rendern nur `server.status`, das aus derselben Response stammt. Live-Abfrage findet nur ueber `pollServer`/`testConnection` statt, explizit durch Nutzerklick oder Scheduler ausgeloest. |
+| 6 | Knopf "Verbindung testen" nennt Ursache in Alltagssprache | ✓ VERIFIED | Alle 7 `ProxmoxErrorKind`-Werte haben deutsche Klartexttexte in `de.json`/`en.json` (Sie-Form, mit Ursache und naechstem Schritt). `testConnection()` schreibt NICHT ins Zwischenlager (Vorbild LDAP-Test). |
+| 7 | Fehlendes/anders benanntes/falsch typisiertes Feld → "unbekannt", nie Absturz/leere Seite/stiller Falschwert | ✗ PARTIAL | Siehe Gap unten: `sumOrNull()` in `normalizePmg()` liefert bei einem fehlenden Teilwert (z. B. `spamcount_out` fehlt) einen scheinbar vollstaendigen, tatsaechlich unvollstaendigen Zahlenwert statt `null`/"unbekannt". Alle uebrigen Einzelwerte (PVE/PBS, PMG countIn/countOut) sind korrekt nachsichtig — verifiziert in `proxmox-normalize.spec.ts` (20 Tests gruen) und live nachgerechnet (`node -e`). |
+| 8 | Ohne Server: Modulseite ruhig, erklaert dass noch keiner eingetragen ist | ✓ VERIFIED | `page.tsx`: `servers.length === 0` → `t('emptyState')` plus Link zu den Einstellungen fuer Admins, kein Fehlertext. |
+| 9 | Beide Tabellen tragen tenantId mit RLS-Policy; rls-coverage/rls-access-inventory bleiben gruen | ✓ VERIFIED | Migration erstellt `tenant_isolation_policy` auf beiden Tabellen plus `system_read_policy` nur auf `ProxmoxServer`. **Live in der Dev-DB bestaetigt** (`psql`): `relrowsecurity=t`, `relforcerowsecurity=t` auf beiden Tabellen; `pg_policies` zeigt exakt die erwarteten drei Policies. `rls-coverage.spec.ts` (5/5) und `rls-access-inventory.spec.ts` (30/30) gruen, inkl. `FORSYSTEM_ALLOWED_CALL_SITES`-Eintrag fuer den einzigen `forSystem()`-Aufruf. Klassifikationsdoku nachgemessen (`grep -c` bestaetigt 11 gebundene + 1 System-Rohtreffer, Doku sagt dasselbe). |
+
+**Score:** 8/9 truths verified (0 present-but-behavior-unverified)
+
+### Required Artifacts
+
+| Artifact | Expected | Status | Details |
+|----------|----------|--------|---------|
+| `apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql` | RLS-Migration | ✓ VERIFIED | Existiert, angewendet (Tabellen + Policies live in der Dev-DB bestaetigt) |
+| `apps/api/src/proxmox/proxmox-auth.ts` | einzige Kopfzeilen-Stelle | ✓ VERIFIED | `buildTokenAuthHeader`, `loginTicket`, `buildTicketCookieHeader`; keine andere Datei im Repo baut PVEAPIToken/PBSAPIToken/Cookie-Header |
+| `apps/api/src/proxmox/proxmox-client.service.ts` | nur-lesender HTTP-Zugang | ✓ VERIFIED | `proxmoxGet`, `classifyFailure`, `parseJsonLenient` — kein `method`-Parameter |
+| `apps/api/src/proxmox/proxmox-normalize.ts` | nachsichtige Leser | ⚠️ SUBSTANTIVE MIT LUECKE | Grundfunktionen (`readNumber`/`readText`/`readBool`/`readList`) korrekt; `normalizePmg`s Aggregation (`sumOrNull`) durchbricht das Muster (siehe Gap) |
+| `apps/api/src/proxmox/proxmox-scheduler.service.ts` | Planer je Mandant | ✓ VERIFIED | `onApplicationBootstrap`, ein Cron-Auftrag je Mandant, Fan-out getestet (9/9 Tests) |
+| `apps/api/src/proxmox/proxmox-nur-lesen.spec.ts` | maschineller Riegel D-01 | ✓ VERIFIED | 2/2 Tests gruen, Klammertiefen-Analyse statt naiver Regex |
+| `apps/web/src/app/(portal)/modules/proxmox/page.tsx` | Modulseite | ✓ VERIFIED | Leerzustand, Serverliste, "Jetzt aktualisieren" |
+| `apps/web/src/app/(portal)/modules/proxmox/settings/page.tsx` | Einstellungsseite | ✓ VERIFIED | Rollen-Gate (Anzeige), CRUD, Loeschbestaetigung |
+
+### Key Link Verification
+
+| From | To | Via | Status | Details |
+|------|-----|-----|--------|---------|
+| `proxmox-auth.ts` | Klient/Planer/Verbindungstest | einzige Kopfzeilen-Bau-Stelle (D-03) | ✓ WIRED | `proxmox.service.ts` importiert ausschliesslich `buildTicketCookieHeader`/`buildTokenAuthHeader`/`loginTicket` aus dieser Datei; kein Nachbau anderswo |
+| `proxmox-client.service.ts` | `tlsRejectUnauthorized`-Feld der Serverzeile | Dispatcher je Aufruf (D-04) | ✓ WIRED | `target.tlsRejectUnauthorized ? undefined : new Agent(...)` in `proxmoxGet` und `loginTicket`, je aus der uebergebenen Serverzeile |
+| `proxmox-scheduler.service.ts` | `proxmox.controller.ts` | `onApplicationBootstrap` + `refreshTenant` nach jedem Speichern | ✓ WIRED | Controller ruft `scheduler.refreshTenant(tenantId)` nach `create`/`update`/`remove` |
+| `proxmox.controller.ts` | `@UseModule`/`@Roles` | Modulfreigabe + Rollenschutz (D-09) | ✓ WIRED | `@UseModule('proxmox')` auf Klassenebene, `@Roles(ADMIN, SUPER_ADMIN)` auf allen Schreibwegen |
+| Jeder DB-Zugriff | `forTenant()`/`forSystem()` | Mandantenbindung (D-08) | ✓ WIRED | `grep -c` bestaetigt 11 `tenantPrisma.(proxmoxServer\|proxmoxServerStatus).`-Treffer, 1 `systemPrisma.proxmoxServer.`-Treffer — deckungsgleich mit `FORSYSTEM_ALLOWED_CALL_SITES` und der Klassifikationsdoku |
+
+### Data-Flow Trace
+
+| Artifact | Data Variable | Source | Produces Real Data | Status |
+|----------|---------------|--------|---------------------|--------|
+| `ServerCard.tsx` | `server.status.metrics` | `GET modules/proxmox/servers` → `listWithStatus()` → DB (`ProxmoxServerStatus`) | Ja (mit Testdaten belegt, kein echter Proxmox verfuegbar — s. unten) | ✓ FLOWING |
+| `ServerForm.tsx` Testergebnis | `testResult` | `POST servers/:id/test` → `testConnection()` → `pollOne()` (kein DB-Schreiben) | Ja | ✓ FLOWING |
+
+### Behavioral Spot-Checks
+
+| Behavior | Command | Result | Status |
+|----------|---------|--------|--------|
+| Nur-Lesen-Riegel haelt (Klammertiefen-Analyse, nicht nur Praesenz) | `vitest run src/proxmox/proxmox-nur-lesen.spec.ts` | 2/2 gruen | ✓ PASS |
+| Ticket-Erneuerung: genau EIN zweiter Versuch, zweites 401 bleibt Fehler | `vitest run src/proxmox` (enthaelt beide Faelle) | gruen | ✓ PASS |
+| Scheduler: zwei Mandanten verdraengen sich nicht, leere Serverliste → kein Auftrag | `vitest run src/proxmox/proxmox-scheduler.service.spec.ts` | 9/9 gruen | ✓ PASS |
+| RLS tatsaechlich in der Dev-DB aktiv (nicht nur im SQL-Text) | `docker exec ... psql -c "SELECT relrowsecurity, relforcerowsecurity FROM pg_class WHERE relname IN (...)"` | `t / t` auf beiden Tabellen, 3 erwartete Policies vorhanden | ✓ PASS |
+| `sumOrNull`-Aggregationsluecke (eigener Nachbau, nicht Teil der Testsuite) | `node -e "sumOrNull(10, null)"` | `10` (haette bei ehrlichem Verhalten `null` sein muessen) | ✗ FAIL — bestaetigt den Gap oben |
+| Volle Testsuiten | `pnpm --filter @tessera/api test`, `pnpm --filter @tessera/web test` | 1311/1311 bzw. 708/708 gruen, identisch zu SUMMARY-Zahlen | ✓ PASS |
+| type-check / lint / Biome | `pnpm type-check`, `pnpm lint`, `pnpm --filter @tessera/web exec biome lint .` | 4/4, 5/5, "Found 53 warnings" | ✓ PASS |
+
+### Requirements Coverage
+
+Kein separates REQUIREMENTS.md fuer Quick-Tasks; Abdeckung erfolgt ueber die elf D-Nummern im Plan-Frontmatter (`<source_audit>`), alle als COVERED gefuehrt und hier gegengeprueft — kein Widerspruch gefunden ausser dem oben genannten Gap zu D-08/T-DHH-08 (stiller Falschwert).
+
+### Anti-Patterns Found
+
+| File | Line | Pattern | Severity | Impact |
+|------|------|---------|----------|--------|
+| `apps/api/src/proxmox/proxmox-normalize.ts` | 240-243 | Aggregation verschluckt fehlenden Teilwert (`sumOrNull`) | 🛑 Blocker (verletzt explizites must-have) | PMG "Spam"/"Viren"-Zahl kann eine unvollstaendige, aber vertrauenswuerdig aussehende Zahl zeigen statt "unbekannt" |
+| — | — | Keine TBD/FIXME/XXX in den neuen Dateien gefunden | ℹ️ Info | — |
+| `apps/web/.../page.tsx` | 54 | "Jetzt aktualisieren"-Knopf wird JEDEM Nutzer mit Modulzugriff gezeigt, `POST servers/:id/poll` ist aber `@Roles(ADMIN, SUPER_ADMIN)`; Fehler wird mit `.catch(() => undefined)` still verschluckt | ⚠️ Warning (UX, keine Sicherheitsluecke — Backend blockt korrekt) | Normale Nutzer sehen einen Knopf, der bei ihnen wirkungslos bleibt, ohne Rueckmeldung |
+
+## Human Verification Required
+
+Diese Punkte kann kein automatisierter Check abschliessend pruefen — teils weil kein echter Proxmox-Server in dieser Umgebung erreichbar ist (vom Auftrag selbst so benannt), teils weil es sich um visuelles/Browser-Verhalten handelt.
+
+### 1. Modulseite im Browser (vom Plan als `<human-check>` in Aufgabe 6 vorgesehen)
+
+**Test:** `/modules/proxmox` oeffnen: ohne Server pruefen, dass der ruhige Hinweis erscheint; danach in den Einstellungen einen Server anlegen und pruefen, dass er in der Liste auftaucht; einen absichtlich falschen Zugang eintragen und pruefen, dass Klartext statt einer leeren Flaeche erscheint.
+**Expected:** Ruhiger Leerzustand, danach korrekte Anzeige, dann Klartext-Fehlermeldung.
+**Why human:** Erfordert echten Browser-Durchlauf; die laufenden Container wurden fuer diese Verifikation bewusst nicht neu gebaut (Auftragsvorgabe), ein visueller Check ist damit nicht ohne Weiteres moeglich.
+
+### 2. Annahmen A2/A3/A5 gegen echte PVE-/PBS-/PMG-Server
+
+**Test:** Cookie-Namen (`PBSAuthCookie`/`PMGAuthCookie`), PBS-Belegungs-/Snapshot-Feldnamen und PMG-Statistikfelder gegen einen echten Server pruefen.
+**Expected:** Die in `TICKET_COOKIE_NAME`/`PBS_USAGE_FIELDS`/`PBS_SNAPSHOT_FIELDS`/`PMG_STATS_FIELDS` hinterlegten Namen stimmen, oder werden an der jeweils benannten EINEN Stelle nachgezogen.
+**Why human:** Kein PVE/PBS/PMG-Server in dieser Umgebung erreichbar — vom Plan selbst so benannt und in `user_setup` dokumentiert, keine Verifikationsluecke dieser Pruefung.
+
+## Gaps Summary
+
+Ein konkreter, durch Code und einen eigenen Nachrechenlauf bestaetigter Gap: `normalizePmg()`s `sumOrNull()`-Hilfsfunktion behandelt einen fehlenden Teilwert (`spamcount_out`/`viruscount_out` bzw. deren `_in`-Gegenstuecke) als `0` statt die kombinierte Summe als `null`/"unbekannt" zu markieren. Das widerspricht direkt dem im Plan-Frontmatter (`must_haves.truths`) UND im eigenen Code-Kommentar ("ein still falscher Wert waere schlimmer als ein ehrliches unbekannt") formulierten Anspruch. Da PMG-Feldnamen die am wenigsten abgesicherte Annahme des gesamten Auftrags sind (Annahme A5, reiner Forenbeleg), ist genau dieses Szenario — ein Teilfeld feuert, das andere heisst anders — nicht hypothetisch, sondern der wahrscheinlichste erste Fehlerfall beim echten Test durch den Nutzer. Kein Test in `proxmox-normalize.spec.ts` deckt den Fall "nur eine Haelfte des Paares vorhanden" ab; alle vorhandenen Tests pruefen entweder "beide vorhanden" oder "beide fehlen".
+
+Alle uebrigen acht Wahrheiten aus dem Plan sind vollstaendig verifiziert, mehrfach durch automatisierte Tests UND durch eigene Stichproben (Live-RLS-Abfrage gegen die tatsaechliche Dev-Datenbank, Grep-Nachzaehlung der Mandantenbindung, direkte Pruefung des Nur-Lesen-Riegels, manuelles Nachrechnen der Klammertiefen-Logik). Alle sieben Commits, alle 24 im Frontmatter genannten Dateien und alle gemessenen Torzahlen (1311/1311 API-Tests, 708/708 Web-Tests, 4/4 type-check, 5/5 lint, exakt 53 Biome-Warnungen) wurden unabhaengig nachvollzogen und stimmen exakt mit der SUMMARY ueberein.
+
+---
+
+_Verified: 2026-09-23T14:58Z_
+_Verifier: Claude (gsd-verifier)_

.planning/quick/260923-ku6-drei-nachbesserungen-aus-dem-browser-run/260923-ku6-PLAN.md

@@ -0,0 +1,108 @@
+---
+phase: quick
+plan: 260923-ku6
+type: quick
+autonomous: true
+requirements: []
+---
+
+# Quick Task 260923-ku6: Drei Nachbesserungen aus dem Browser-Rundgang (Proxmox-Modul)
+
+## Objective
+
+Drei im Browser-Rundgang zu Quick-Task 260923-dhh gefundene Fehler beheben, ohne den
+Funktionsumfang sonst zu veraendern:
+
+1. „Verbindung testen" prueft den gespeicherten Stand statt der Formularwerte.
+2. Ein frisch angelegter, noch nie abgefragter Server zeigt faelschlich die Sammelmeldung
+   „Ein unerwarteter Fehler ist aufgetreten" statt eines ruhigen „noch keine Abfrage"-Zustands.
+3. Die CSS-Klasse `uppercase` faerbt in der Modulseiten-Zeile die ganze Zeile (inkl. Adresse)
+   gross statt nur das Produktkuerzel.
+
+## Context
+
+- Quelle: menschlicher Browser-Rundgang zu `.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-PLAN.md`.
+- Betroffene Dateien: `apps/api/src/proxmox/proxmox.controller.ts`, `apps/api/src/proxmox/proxmox.service.ts`,
+  `apps/api/src/proxmox/dto/proxmox-server.dto.ts`, `apps/web/src/lib/proxmox-api.ts`,
+  `apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx`,
+  `apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx`,
+  `apps/web/src/messages/de.json`, `apps/web/src/messages/en.json`.
+
+## Tasks
+
+### Task 1: Verbindungstest prueft Formularwerte statt gespeicherten Stand (Befund 1)
+
+<task type="auto">
+<files>
+apps/api/src/proxmox/dto/proxmox-server.dto.ts
+apps/api/src/proxmox/proxmox.service.ts
+apps/api/src/proxmox/proxmox.controller.ts
+apps/api/src/proxmox/proxmox.service.spec.ts
+apps/web/src/lib/proxmox-api.ts
+apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx
+apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx
+</files>
+<action>
+Backend: neues `TestProxmoxServerDto` (alle Felder optional, wie `UpdateProxmoxServerDto`).
+`POST servers/:id/test` nimmt diesen Body entgegen und mischt ihn mit dem gespeicherten
+Server: pro Feld gilt „im Formular gesendet und nicht leer -> Formularwert, sonst
+gespeicherter Wert" (Geheimnisfelder: nicht gesendet/leer -> gespeicherter, verschluesselter
+Wert bleibt bestehen und wird wie ueblich entschluesselt). Neue Route `POST servers/test`
+(ohne `:id`) fuer die Neuanlage — testet ausschliesslich mit den Formularwerten, ohne
+gespeicherten Fallback. Beide Routen rufen denselben privaten Merge-Baustein auf; dieser
+wird per Unit-Test abgedeckt (leeres Geheimnisfeld -> gespeicherter Wert bleibt; gefuelltes
+Geheimnisfeld -> neuer Wert greift; abgeschaltete Zertifikatspruefung im Formular wird
+uebernommen). Zugangsdaten weiterhin nicht in Log/Antwort (bestehende Riegel unveraendert).
+Frontend: `testServer`/neue `testDraftServer`-Funktion senden immer den vollstaendigen
+aktuellen Formularstand. `ServerForm` zeigt den Testen-Knopf immer (nicht nur nach dem
+Speichern) und waehlt je nach `savedServer` die passende Funktion.
+</action>
+<verify>cd apps/api && pnpm vitest run src/proxmox/proxmox.service.spec.ts && cd ../web && pnpm vitest run src/app/\(portal\)/modules/proxmox/settings/components/ServerForm.test.tsx</verify>
+<done>Ein Test zeigt: gespeicherter Server mit im Formular abgeschalteter Zertifikatspruefung
+-> Testergebnis beruecksichtigt die abgeschaltete Pruefung (nicht mehr `zertifikat`-Fehler).
+Ein zweiter Test zeigt: leer gelassenes Geheimnisfeld nutzt weiterhin den gespeicherten Wert.
+Der Testen-Knopf funktioniert auch ohne gespeicherten Server.</done>
+</task>
+
+### Task 2: Ruhiger Zustand fuer "noch nie abgefragt" (Befund 2)
+
+<task type="auto">
+<files>
+apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx
+apps/web/src/messages/de.json
+apps/web/src/messages/en.json
+</files>
+<action>
+Neuer Uebersetzungsschluessel `proxmox.card.notPolledYet` (DE/EN), der auf den Knopf
+„Jetzt aktualisieren" verweist. In `ServerCard`: wenn `status.lastPolledAt === null` (noch
+keine Abfrage gelaufen), erscheint dieser ruhige Hinweis statt des Fehlerblocks — auch wenn
+`status.reachable` false ist (Zustand direkt nach dem Anlegen). Die bestehenden
+Fehlermeldungen (inkl. `unbekannt`) bleiben fuer den Fall `lastPolledAt !== null &&
+!reachable` unveraendert.
+</action>
+<verify>cd apps/web && pnpm vitest run src/app/\(portal\)/modules/proxmox/components/ServerCard.test.tsx</verify>
+<done>Ein Test zeigt: Status mit `lastPolledAt: null, reachable: false, errorKind: null`
+zeigt den ruhigen Hinweistext und NICHT die Meldung "Ein unerwarteter Fehler ist
+aufgetreten". Bestehende Fehlermeldungs-Tests bleiben gruen.</done>
+</task>
+
+### Task 3: uppercase nur auf Produktkuerzel (Befund 3)
+
+<task type="auto">
+<files>
+apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+</files>
+<action>
+`uppercase` von der Zeile auf ein `<span>` um `server.productType` verschieben; die Adresse
+bleibt unveraendert dargestellt.
+</action>
+<verify>cd apps/web && pnpm vitest run src/app/\(portal\)/modules/proxmox/components/ServerCard.test.tsx</verify>
+<done>Adresse erscheint in der Modulseiten-Zeile nicht mehr grossgeschrieben, Produktkuerzel weiterhin schon.</done>
+</task>
+
+## Gesamtverifikation
+
+Nach allen drei Aufgaben: `pnpm --filter api test`, `pnpm --filter web test`,
+`pnpm type-check`, `pnpm lint`, `pnpm --filter web exec biome check .` (Warnungszahl exakt
+53) muessen unveraendert/gruen sein, keine Container-Neubauten, keine Browser-Pruefung.

.planning/quick/260923-ku6-drei-nachbesserungen-aus-dem-browser-run/260923-ku6-SUMMARY.md

@@ -0,0 +1,154 @@
+---
+phase: quick
+plan: 260923-ku6
+subsystem: ui
+tags: [nestjs, next.js, proxmox, class-validator, vitest, next-intl, biome]
+
+requires:
+  - phase: 260923-dhh
+    provides: Proxmox-Modul (PVE/PBS/PMG anbinden, Verbindungstest, Modulseite)
+provides:
+  - Verbindungstest prueft Formularwerte statt gespeicherten Stand (neue Route POST servers/test, TestProxmoxServerDto, resolveEffectiveTestServer-Merge)
+  - Ruhiger "noch nicht abgefragt"-Zustand auf der Modulseite statt Sammelfehlermeldung
+  - uppercase-Klasse nur noch auf dem Produktkuerzel, nicht mehr auf der Adresse
+affects: [proxmox]
+
+actuals:
+  tokens: 9700
+  tasks: 3
+  commits: 2
+
+tech-stack:
+  added: []
+  patterns:
+    - "Formular-vs-gespeichert-Merge fuer Verbindungstests: normale Felder folgen dem Formular (auch geleert), Geheimnisfelder folgen der 'leer -> gespeicherten Wert behalten'-Regel, weil das Formular Geheimnisse beim Laden nie vorbefuellt"
+
+key-files:
+  created: []
+  modified:
+    - apps/api/src/proxmox/dto/proxmox-server.dto.ts
+    - apps/api/src/proxmox/proxmox.controller.ts
+    - apps/api/src/proxmox/proxmox.service.ts
+    - apps/api/src/proxmox/proxmox.service.spec.ts
+    - apps/web/src/lib/proxmox-api.ts
+    - "apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx"
+    - "apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx"
+    - "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx"
+    - "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx"
+    - apps/web/src/messages/de.json
+    - apps/web/src/messages/en.json
+
+key-decisions:
+  - "Verbindungstest-Route POST servers/:id/test nimmt jetzt einen optionalen Body (TestProxmoxServerDto) entgegen; neue Route POST servers/test (ohne :id) deckt die Neuanlage ab, ueberschneidet sich nicht mit servers/:id/test (unterschiedliche Segmentzahl)"
+  - "Geheimnisfelder behalten beim Test die 'leer -> gespeicherten Wert' Sonderregel, alle anderen Felder folgen strikt dem gesendeten Formularstand (auch wenn absichtlich geleert)"
+  - "Befund 2+3 in einem Commit, weil beide Aenderungen in derselben Datei (ServerCard.tsx) liegen"
+
+requirements-completed: []
+
+coverage:
+  - id: D1
+    description: "Verbindungstest prueft Formularwerte (Zertifikatspruefung, neues Geheimnis) statt des gespeicherten Stands; leer gelassenes Geheimnisfeld nutzt weiterhin den gespeicherten Wert; Test funktioniert auch bei der Neuanlage ohne gespeicherten Server"
+    verification:
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox.service.spec.ts#Nachbesserung Befund 1: testConnection prueft die im Formular abgeschaltete Zertifikatspruefung..."
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox.service.spec.ts#Nachbesserung Befund 1: ein im Formular NEU eingetipptes Token-Geheimnis wird getestet..."
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox.service.spec.ts#Nachbesserung Befund 1: leer gelassenes Geheimnisfeld im Formular nutzt weiterhin das gespeicherte Token-Geheimnis"
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox.service.spec.ts#Nachbesserung Befund 1: testDraftConnection testet einen noch nicht gespeicherten Server..."
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx#Nachbesserung Befund 1: bei der Neuanlage ... steht der Testen-Knopf zur Verfuegung..."
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx#Nachbesserung Befund 1: der Test prueft die im Formular abgeschaltete Zertifikatspruefung..."
+        status: pass
+    human_judgment: true
+    rationale: "Browser-Pruefung des tatsaechlichen Verhaltens macht der Orchestrator danach (per Auftrag ausgeschlossen aus diesem Lauf)"
+  - id: D2
+    description: "Frisch angelegter, noch nie abgefragter Server zeigt einen ruhigen Hinweis statt der Sammelfehlermeldung 'Ein unerwarteter Fehler ist aufgetreten'"
+    verification:
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx#Nachbesserung Befund 2: ein frisch angelegter, noch nie abgefragter Server..."
+        status: pass
+    human_judgment: true
+    rationale: "Browser-Pruefung des tatsaechlichen Verhaltens macht der Orchestrator danach (per Auftrag ausgeschlossen aus diesem Lauf)"
+  - id: D3
+    description: "Adresse in der Modulseiten-Zeile nicht mehr grossgeschrieben, nur noch das Produktkuerzel"
+    verification:
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx#Nachbesserung Befund 3: die Adresse bleibt unveraendert dargestellt..."
+        status: pass
+    human_judgment: false
+
+duration: 45min
+completed: 2026-09-23
+status: complete
+---
+
+# Quick Task 260923-ku6: Drei Nachbesserungen aus dem Browser-Rundgang (Proxmox-Modul) Summary
+
+**Verbindungstest folgt jetzt dem Formular statt dem gespeicherten Server, ein frisch angelegter Server zeigt einen ruhigen "noch nicht abgefragt"-Hinweis statt einer falschen Fehlermeldung, und die Adresse in der Modulseiten-Zeile ist nicht mehr grossgeschrieben.**
+
+## Performance
+
+- **Duration:** ~45 min
+- **Tasks:** 3
+- **Files modified:** 11
+
+## Accomplishments
+
+- **Befund 1:** `POST servers/:id/test` prueft jetzt den aktuellen Formularstand (Zertifikatspruefung, Token-/Passwort-Geheimnis, Adresse, Zugangsart) statt blind des gespeicherten Servers; neue Route `POST servers/test` deckt denselben Test waehrend der Neuanlage ab, wo es noch keinen gespeicherten Server gibt. Geheimnisfelder behalten die Sonderregel "leer gelassen -> gespeicherten Wert weiterverwenden", weil `ServerForm` sie beim Laden nie aus der Datenbank vorbefuellt.
+- **Befund 2:** Ein frisch angelegter, noch nie abgefragter Server (`status.lastPolledAt === null`) zeigt einen ruhigen Hinweistext, der auf "Jetzt aktualisieren" verweist, statt der Sammelmeldung "Ein unerwarteter Fehler ist aufgetreten". Echte Fehlermeldungen bleiben fuer bereits abgefragte, aber nicht erreichbare Server unveraendert.
+- **Befund 3:** Die `uppercase`-Klasse sitzt jetzt nur noch auf dem Produktkuerzel (`<span>`), nicht mehr auf der ganzen Statuszeile — die Adresse erscheint wieder wie eingegeben.
+
+## Task Commits
+
+1. **Task 1: Verbindungstest prueft Formularwerte statt gespeicherten Stand (Befund 1)** - `710034c` (fix)
+2. **Task 2+3: Ruhiger "noch nicht abgefragt"-Zustand und Adresse ohne Grossschreibung (Befund 2+3)** - `f1bb7f7` (fix)
+
+_Beide Aufgaben von Befund 2 und 3 liegen in derselben Datei (`ServerCard.tsx`) und wurden deshalb in einem Commit zusammengefasst — Begruendung steht in der Commit-Nachricht._
+
+## Files Created/Modified
+
+- `apps/api/src/proxmox/dto/proxmox-server.dto.ts` - neues `TestProxmoxServerDto`
+- `apps/api/src/proxmox/proxmox.controller.ts` - `test` nimmt jetzt einen Body entgegen, neue Route `testDraft` (`POST servers/test`)
+- `apps/api/src/proxmox/proxmox.service.ts` - `resolveEffectiveTestServer`-Merge, `testConnection` mit `dto`-Parameter, neue `testDraftConnection`
+- `apps/api/src/proxmox/proxmox.service.spec.ts` - 5 neue Tests fuer Befund 1
+- `apps/web/src/lib/proxmox-api.ts` - `testServer` nimmt jetzt ein Payload, neue `testDraftServer`
+- `apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx` - Testen-Knopf immer sichtbar, sendet immer den Formularstand
+- `apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx` - alte "kein Knopf vor dem Speichern"-Erwartung durch das neue, gewuenschte Verhalten ersetzt, 2 neue Tests
+- `apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx` - ruhiger "noch nicht abgefragt"-Zustand, `uppercase` nur auf dem Produktkuerzel
+- `apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx` - 2 neue Tests
+- `apps/web/src/messages/de.json`, `apps/web/src/messages/en.json` - neuer Schluessel `proxmox.card.notPolledYet`
+
+## Decisions Made
+
+- Geheimnisfelder (`tokenSecret`/`password`) folgen beim Testen weiterhin der bestehenden "leer -> gespeicherten Wert behalten"-Regel aus `updateServer`, weil `ServerForm` sie beim Laden absichtlich nie vorbefuellt (kein Klartext-Leak). Alle anderen Felder (`tokenId`, `username`, `baseUrl`, `authMethod`, `productType`, `tlsRejectUnauthorized`) folgen strikt dem gesendeten Formularwert, auch wenn er absichtlich geleert wurde — diese Felder sind beim Laden immer vorbefuellt, ein leeres Feld ist dort also eine bewusste Nutzeraktion.
+- Neue Route `POST servers/test` statt eines Sonderwerts fuer `:id` (z. B. `new`), weil sie sich mit `servers/:id/test` nicht ueberschneidet (zwei vs. drei Segmente) und dadurch keine Routen-Reihenfolge-Abhaengigkeit entsteht.
+- `buildTestPayload()` in `ServerForm.tsx` sendet bewusst kein `name`-Feld, weil `TestProxmoxServerDto` `@IsNotEmpty()` auf `name` erbt und ein waehrend der Neuanlage noch leeres Namensfeld sonst jeden Testklick mit 400 blockiert hätte.
+
+## Deviations from Plan
+
+None - plan executed exactly as written (PLAN.md `.planning/quick/260923-ku6-drei-nachbesserungen-aus-dem-browser-run/260923-ku6-PLAN.md`).
+
+## Issues Encountered
+
+- Die Aenderung an `ServerCard.tsx` (`status && status.lastPolledAt && !status.reachable`) loeste eine neue Biome-Warnung (`lint/complexity/useOptionalChain`) aus, die die geforderte exakte Warnungszahl (53) auf 54 angehoben haette. Behoben durch Umformulierung zu `status?.lastPolledAt && !status.reachable` (TypeScript narrowt `status` fuer den Rest des Ausdrucks korrekt nach) — Warnungszahl danach wieder exakt 53.
+- Der bestehende Test "ohne gespeicherten Server (Neuanlage) gibt es keinen Verbindung-testen-Knopf" widersprach direkt der geforderten Korrektur aus Befund 1 (Testen soll bei der Neuanlage funktionieren) und wurde durch einen Test mit dem neuen, gewuenschten Verhalten ersetzt.
+
+## User Setup Required
+
+None - keine externe Konfiguration noetig.
+
+## Next Phase Readiness
+
+Alle drei Befunde behoben, alle Tore gruen (api 1316/1316, web 712/712, type-check 4/4, lint 5/5, Biome `apps/web` exakt 53 Warnungen). Browser-Pruefung der tatsaechlichen UI macht der Orchestrator im Anschluss, wie im Auftrag verlangt.
+
+---
+*Phase: quick-260923-ku6*
+*Completed: 2026-09-23*

.planning/quick/260923-le6-proxmox-abnahmebefunde-sumornull-null-be/260923-le6-PLAN.md

@@ -0,0 +1,221 @@
+---
+phase: quick
+plan: 260923-le6
+type: execute
+wave: 1
+depends_on: []
+files_modified:
+  - apps/api/src/proxmox/proxmox-normalize.ts
+  - apps/api/src/proxmox/proxmox-normalize.spec.ts
+  - apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx
+  - apps/web/src/messages/de.json
+  - apps/web/src/messages/en.json
+  - apps/web/src/app/(portal)/modules/proxmox/page.tsx
+  - apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx
+autonomous: true
+requirements: []
+
+estimate:
+  tokens: 45000
+  raw_tokens: 45000
+  tasks: 3
+  confidence: low
+
+must_haves:
+  truths:
+    - "PMG: fehlt von einem Paar (spamcount_in/spamcount_out bzw. viruscount_in/viruscount_out) genau eine Haelfte, ist spamCount bzw. virusCount null (Anzeige 'unbekannt') — in beide Richtungen, nie eine Teilsumme"
+    - "PMG: sind beide Haelften vorhanden, bleibt die Summe wie bisher (10+2 -> 12); fehlen beide, bleibt null"
+    - "Auf der Proxmox-Modulseite sehen nur ADMIN und SUPER_ADMIN den Knopf 'Jetzt aktualisieren'; USER (und ein noch nicht geladener Benutzer) sehen ihn nicht"
+    - "Ein noch nie abgefragter Server zeigt Admins weiterhin 'Noch keine Abfrage gelaufen. Klicken Sie oben auf „Jetzt aktualisieren“.'; Nicht-Admins sehen stattdessen einen Text ohne Verweis auf den Knopf"
+    - "Sonst aendert sich an der Modulseite nichts (Festlegung: kein Umbau, keine zusaetzlichen Details/Statusfarben)"
+  artifacts:
+    - path: apps/api/src/proxmox/proxmox-normalize.ts
+      provides: "sumOrNull liefert null, sobald ein Teilwert null ist"
+    - path: apps/api/src/proxmox/proxmox-normalize.spec.ts
+      provides: "Testfaelle 'nur eine Haelfte vorhanden -> null' fuer Spam und Viren, beide Richtungen"
+    - path: apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+      provides: "optionale Eigenschaft isAdmin (Vorgabe false), waehlt den Hinweistext fuer noch nie abgefragte Server"
+    - path: apps/web/src/app/(portal)/modules/proxmox/page.tsx
+      provides: "Aktualisieren-Knopf nur fuer Admins, reicht isAdmin an ServerCard weiter"
+    - path: apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx
+      provides: "Seitentest: Knopf sichtbar fuer ADMIN/SUPER_ADMIN, unsichtbar fuer USER/null"
+  key_links:
+    - from: "apps/web/src/app/(portal)/modules/proxmox/page.tsx"
+      to: "ServerCard"
+      via: "isAdmin={isAdmin}"
+      pattern: "isAdmin=\\{isAdmin\\}"
+    - from: "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx"
+      to: "apps/web/src/messages/de.json proxmox.card.notPolledYetAutomatic"
+      via: "t('card.notPolledYetAutomatic')"
+      pattern: "card\\.notPolledYetAutomatic"
+---
+
+<objective>
+Zwei Befunde aus der Abnahme des Proxmox-Moduls beheben, sonst nichts:
+
+1. **PMG-Teilsumme (API):** `sumOrNull(a, b)` in `apps/api/src/proxmox/proxmox-normalize.ts` addiert heute einen fehlenden Teilwert als 0, sobald nur EINE Haelfte null ist. Dadurch zeigt die Seite z. B. „Spam: 10“ als vollstaendige Tageszahl, obwohl `spamcount_out` fehlte. Das ist der in `.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-VERIFICATION.md` (Wahrheit 7, Blocker) belegte Fehler. Kuenftig ist die Summe null, sobald ein Teilwert null ist.
+2. **Aktualisieren-Knopf nur fuer Admins (Web):** Der Knopf „Jetzt aktualisieren“ erscheint heute bei allen, die Zugriff auf das Modul haben. Der Endpunkt `POST servers/:id/poll` verlangt aber `@Roles(Role.ADMIN, Role.SUPER_ADMIN)` (`apps/api/src/proxmox/proxmox.controller.ts:89-90`), deshalb passiert beim Klick fuer alle anderen nichts. Kuenftig sehen nur ADMIN/SUPER_ADMIN den Knopf. Der Hinweis „Noch keine Abfrage gelaufen. Klicken Sie oben auf …“ darf Nicht-Admins nicht mehr auf einen Knopf verweisen, den sie nicht sehen.
+
+**Festlegung (locked, vom Nutzer):** KEIN Umbau der Proxmox-Modulseite. Der Nutzer hat seinen Wunsch nach mehr Details bzw. Statusfarben ausdruecklich zurueckgezogen. Nur diese zwei Korrekturen, keine weiteren Anzeige-, Layout- oder Textaenderungen.
+
+Hinweis zum Zuschnitt: Tracer-first entfaellt (wie `--no-tracer`). Es handelt sich um zwei voneinander unabhaengige Fehlerkorrekturen, jede in genau einer Schicht, ohne neue Architektur, die ein Durchstich absichern muesste. Aufgabe 1 (API) und Aufgabe 2/3 (Web) beruehren keine gemeinsamen Dateien. Aufgabe 3 braucht die Eigenschaft `isAdmin` aus Aufgabe 2.
+
+Purpose: Das Modul soll keinen still falschen, plausibel aussehenden Wert zeigen (eigener Anspruch in `proxmox-normalize.ts` und `ServerCard.tsx`: „ein still falscher Wert waere schlimmer als ein ehrliches unbekannt“). Ausserdem soll kein Knopf erscheinen, der fuer den Betrachter wirkungslos ist.
+Output: korrigierte `sumOrNull` samt Tests; `ServerCard` mit `isAdmin`-Eigenschaft und einem zweiten Hinweistext in de/en; Modulseite, die den Knopf nur Admins zeigt, samt neuem Seitentest.
+</objective>
+
+<execution_context>
+@~/.claude/gsd-core/workflows/execute-plan.md
+@~/.claude/gsd-core/templates/summary.md
+</execution_context>
+
+<context>
+@.planning/STATE.md
+@./CLAUDE.md
+@.planning/quick/260923-dhh-proxmox-modul-pve-pbs-und-pmg-anbinden-n/260923-dhh-VERIFICATION.md
+
+@apps/api/src/proxmox/proxmox-normalize.ts
+@apps/api/src/proxmox/proxmox-normalize.spec.ts
+@apps/web/src/app/(portal)/modules/proxmox/page.tsx
+@apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+@apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx
+@apps/web/src/app/(portal)/modules/tender-radar/settings/settings-roles.test.tsx
+
+<interfaces>
+Bereits im Code vorhanden (vom Planer gelesen, nicht erneut suchen):
+
+- `apps/web/src/lib/stores/auth-store.ts`: `useAuthStore((s) => s.user)`, `user.role` ist `'SUPER_ADMIN' | 'ADMIN' | 'USER'`.
+- `page.tsx` berechnet BEREITS `const isAdmin = user?.role === 'ADMIN' || user?.role === 'SUPER_ADMIN';` (Zeile 18-19) und nutzt es fuer den Einstellungs-Link. Das ist das etablierte Muster; es wird kein neuer Mechanismus eingefuehrt.
+- `apps/web/src/lib/proxmox-api.ts`: `listServers(): Promise<ProxmoxServer[]>`, `pollServer(id: string): Promise<ProxmoxTestResult>`, Typ `ProxmoxServer` (inkl. `isActive`, `pollIntervalMin`, `status: ProxmoxServerStatus | null`).
+- `ServerCard` wird ausschliesslich in `page.tsx:99` verwendet (per grep geprueft).
+- Test-Muster fuer Rollen: `settings-roles.test.tsx` mockt `@/lib/stores/auth-store` mit `useAuthStore: (selector) => mockAuthStore(selector)` und setzt je Fall `mockAuthStore.mockImplementation((sel) => sel({ user }))`, ausserdem `next/link` als `<a>` und `next-intl` mit handgeschriebener Uebersetzungstabelle.
+- Nachrichtendateien: nur `apps/web/src/messages/de.json` und `apps/web/src/messages/en.json`. Namensraum `proxmox.card` (de.json ab Zeile 712). `umlaut-guard.spec.ts` prueft de.json auf Ersatzschreibungen (ae/oe/ue/ss) — neue deutsche Texte brauchen echte Umlaute.
+- Abfragetakt: `ProxmoxServer.pollIntervalMin` Vorgabe 5, erlaubt 1–1440 (`dto/proxmox-server.dto.ts` `@Min(1) @Max(1440)`). Der Planer laeuft je Mandant im kleinsten Intervall der aktiven Server (`proxmox-scheduler.service.ts`). Inaktive Server (`isActive: false`) werden nicht automatisch abgefragt.
+</interfaces>
+</context>
+
+<tasks>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 1: PMG-Summe wird null, sobald eine Haelfte fehlt (sumOrNull)</name>
+  <files>apps/api/src/proxmox/proxmox-normalize.ts, apps/api/src/proxmox/proxmox-normalize.spec.ts</files>
+  <read_first>apps/api/src/proxmox/proxmox-normalize.ts (Zeilen 222-270), apps/api/src/proxmox/proxmox-normalize.spec.ts (Zeilen 185-240)</read_first>
+  <behavior>
+    - Nur `spamcount_in: 10` vorhanden, `spamcount_out` fehlt -> `spamCount` ist `null` (heute faelschlich 10)
+    - Nur `spamcount_out: 2` vorhanden, `spamcount_in` fehlt -> `spamCount` ist `null`
+    - Nur `viruscount_in: 1` vorhanden, `viruscount_out` fehlt -> `virusCount` ist `null`
+    - Nur `viruscount_out: 3` vorhanden, `viruscount_in` fehlt -> `virusCount` ist `null`
+    - Eine Haelfte vorhanden, die andere ist nicht lesbar (z. B. `spamcount_out: 'abc'`, `readNumber` liefert null) -> `spamCount` ist `null`
+    - Unabhaengigkeit der Paare: Spam unvollstaendig, Viren vollstaendig (`viruscount_in: 1, viruscount_out: 0`) -> `spamCount` null, `virusCount` 1; `countIn`/`countOut` bleiben unberuehrt
+    - Unveraendert gruen: die bestehenden Tests „beide vorhanden -> 12/1“, „beide fehlen -> null“, „HTML -> antwortform“
+  </behavior>
+  <action>
+RED: Im bestehenden `describe('normalizePmg (Aufgabe 3, <behavior>)', ...)`-Block von `proxmox-normalize.spec.ts` neue Faelle fuer jede Zeile aus `<behavior>` ergaenzen. Das geht als einzelne `it` oder als `it.each` ueber eine Tabelle {Beschreibung, data, erwartetes spamCount, erwartetes virusCount}. Jeder Testname nennt „nur eine Haelfte vorhanden -> null“ und die Richtung (in bzw. out) sowie Spam bzw. Viren. Vorhandene Tests unveraendert lassen. Der Planer hat geprueft, dass keiner das alte Verhalten festschreibt: Die vorhandenen PMG-Tests decken nur „beide vorhanden“ und „beide fehlen“ ab, und `proxmox.service.spec.ts:350-360` liefert beide Haelften (`spamcount_in: 1, spamcount_out: 0`). Test ausfuehren, die neuen Faelle muessen ROT sein. Commit `test(260923-le6): PMG-Teilsumme ohne Haelfte muss null sein`.
+
+GREEN: `sumOrNull(a, b)` so aendern, dass es `null` zurueckgibt, sobald `a` ODER `b` `null` ist. Nur wenn beide Zahlen sind, wird ihre Summe zurueckgegeben. Die bisherige Ersatz-durch-Null-Addition entfaellt vollstaendig, ein fehlender Teilwert wird nie mehr als 0 behandelt. Ueber der Funktion einen kurzen deutschen Kommentar ergaenzen (Stil der Datei, ASCII-Umschreibungen wie im Rest der Datei): Eine Tageszahl aus zwei Teilwerten ist nur dann bekannt, wenn beide Teilwerte bekannt sind; eine Teilsumme saehe vollstaendig aus, waere aber still falsch (Abnahmebefund 260923-dhh, Wahrheit 7; PMG-Feldnamen sind nur Annahme A5). `normalizePmg` selbst und die Feldtabelle `PMG_STATS_FIELDS` bleiben unveraendert. Tests muessen GRUEN sein. Commit `fix(260923-le6): PMG-Summe null bei fehlendem Teilwert`.
+  </action>
+  <verify>
+    <automated>pnpm --filter api exec vitest run src/proxmox</automated>
+    <automated>test "$(grep -v '^\s*//' apps/api/src/proxmox/proxmox-normalize.ts | grep -c '?? 0) + (')" -eq 0</automated>
+    <automated>pnpm --filter api type-check</automated>
+  </verify>
+  <done>Alle Tests unter `apps/api/src/proxmox` gruen, darunter mindestens 5 neue Faelle „nur eine Haelfte vorhanden -> null“ (Spam in/out, Viren in/out, nicht lesbare Haelfte). Die Ersatz-durch-Null-Addition steht nicht mehr in `proxmox-normalize.ts`. API-Typpruefung ohne Fehler.</done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 2: ServerCard waehlt den Hinweistext nach Rolle (isAdmin) und zweiter Text in de/en</name>
+  <files>apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx, apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx, apps/web/src/messages/de.json, apps/web/src/messages/en.json</files>
+  <read_first>apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx (Zeilen 150-215), apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx, apps/web/src/messages/de.json (Zeilen 706-720), apps/web/src/messages/en.json (Zeilen 706-720)</read_first>
+  <behavior>
+    - `isAdmin` gesetzt, Server nie abgefragt (`status.lastPolledAt === null`) -> Text „Noch keine Abfrage gelaufen. Klicken Sie oben auf „Jetzt aktualisieren“.“ (wie heute)
+    - `isAdmin={false}`, Server nie abgefragt -> Text „Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.“, und nirgends in der Karte steht „Jetzt aktualisieren“
+    - `isAdmin` weggelassen -> verhaelt sich wie `isAdmin={false}` (sichere Vorgabe)
+    - Weiterhin in keinem der Faelle die Sammelmeldung „Unerwarteter Fehler.“
+  </behavior>
+  <action>
+Umsetzung der zweiten Korrektur, Teil Karte.
+
+(a) Nachrichten: In `apps/web/src/messages/de.json` unter `proxmox.card`, direkt nach `notPolledYet`, den neuen Schluessel `notPolledYetAutomatic` mit dem Wert „Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.“ anlegen. Echtes „ä“ verwenden (umlaut-guard), Sie-Form bzw. unpersoenlich wie die uebrigen App-Texte. In `apps/web/src/messages/en.json` an derselben Stelle `notPolledYetAutomatic`: „No poll has run yet. The values will appear after the next automatic poll.“ Andere Schluessel nicht anfassen; `notPolledYet`, `refresh` und `refreshing` bleiben unveraendert. Begruendung der Wortwahl (Planer-Ermessen, Vorschlag aus dem Auftrag angepasst): Ein „in Kürze“ waere nicht immer wahr, denn das Intervall ist je Server von 1 bis 1440 Minuten einstellbar (`@Max(1440)`). „Nach der nächsten automatischen Abfrage“ stimmt bei jedem Intervall und verweist auf keinen Knopf.
+
+(b) `ServerCard.tsx`: `ServerCardProps` um die optionale Eigenschaft `isAdmin?: boolean` erweitern und in der Funktionssignatur mit Vorgabe `false` entgegennehmen. Die sichere Vorgabe bedeutet: Wer die Eigenschaft vergisst, zeigt keinen Verweis auf einen Knopf. Im vorhandenen Zweig fuer nie abgefragte Server (`status && !status.lastPolledAt`) den Text nach `isAdmin` waehlen. Ist `isAdmin` wahr, bleibt der heutige Aufruf `t('card.notPolledYet', { refreshLabel: t('card.refresh') })` unveraendert, sonst `t('card.notPolledYetAutomatic')`. Den Kommentar „Nachbesserung Befund 2“ um einen Satz ergaenzen: Nicht-Admins sehen den Knopf nicht (der Poll-Endpunkt verlangt ADMIN/SUPER_ADMIN) und bekommen deshalb den Text ohne Knopfverweis (260923-le6). Sonst NICHTS an der Karte aendern, auch keine Formatierung unbeteiligter Zeilen (Festlegung: kein Umbau). Insbesondere kein `biome format --write` auf die ganze Datei, das wuerde unbeteiligte Zeilen umbrechen.
+
+(c) `ServerCard.test.tsx`: In die `next-intl`-Mock-Tabelle `'card.notPolledYetAutomatic'` mit dem deutschen Text aus (a) aufnehmen. Den bestehenden Test „Nachbesserung Befund 2: …“ auf `render(<ServerCard server={server} isAdmin />)` umstellen; seine Erwartungen bleiben. Neue Tests fuer die Faelle aus `<behavior>` ergaenzen: `isAdmin={false}` sowie weggelassenes `isAdmin` jeweils mit Erwartung des automatischen Textes, `queryByText(/Jetzt aktualisieren/)` ist `null` und `queryByText('Unerwarteter Fehler.')` ist `null`. Zuerst die Tests schreiben und ROT sehen, dann (a)+(b) umsetzen und GRUEN sehen. Ein Commit genuegt: `fix(260923-le6): Proxmox-Karte verweist Nicht-Admins nicht auf den Aktualisieren-Knopf`.
+  </action>
+  <verify>
+    <automated>pnpm --filter web exec vitest run "src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx" src/messages</automated>
+    <automated>node -e "const d=require('./apps/web/src/messages/de.json'),e=require('./apps/web/src/messages/en.json');const a=d.proxmox.card.notPolledYetAutomatic,b=e.proxmox.card.notPolledYetAutomatic;if(!a||!b||/aktualisieren/i.test(a)||/refresh/i.test(b)||!a.includes('nächsten'))process.exit(1);if(d.proxmox.card.notPolledYet!=='Noch keine Abfrage gelaufen. Klicken Sie oben auf „{refreshLabel}“.')process.exit(2)"</automated>
+  </verify>
+  <done>ServerCard-Tests gruen (bestehende und neue Admin-/Nicht-Admin-Faelle); `src/messages`-Tests (umlaut-guard, Paritaet) gruen. `notPolledYetAutomatic` existiert in de und en und erwaehnt keinen Aktualisieren-Knopf. `notPolledYet` ist unveraendert.</done>
+</task>
+
+<task type="auto" tdd="true">
+  <name>Aufgabe 3: Modulseite zeigt „Jetzt aktualisieren“ nur ADMIN/SUPER_ADMIN, mit Seitentest</name>
+  <files>apps/web/src/app/(portal)/modules/proxmox/page.tsx, apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx</files>
+  <read_first>apps/web/src/app/(portal)/modules/proxmox/page.tsx, apps/web/src/app/(portal)/modules/tender-radar/settings/settings-roles.test.tsx (Zeilen 1-100, nur das Mock-Muster)</read_first>
+  <behavior>
+    - Rolle USER, eine Serverliste mit einem nie abgefragten Server -> kein Knopf mit Namen „Jetzt aktualisieren“; der Karten-Hinweis ist der automatische Text
+    - Kein Benutzer geladen (`user: null`) -> kein Knopf
+    - Rolle ADMIN -> Knopf „Jetzt aktualisieren“ sichtbar; der Karten-Hinweis ist der Admin-Text mit Knopfverweis
+    - Rolle SUPER_ADMIN -> Knopf sichtbar
+    - Leere Serverliste bei ADMIN -> weiterhin kein Knopf (bestehende Bedingung `servers.length > 0` bleibt)
+  </behavior>
+  <action>
+Umsetzung der zweiten Korrektur, Teil Seite.
+
+(a) Neue Testdatei `apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx` nach dem Muster von `settings-roles.test.tsx` anlegen. Gemockt werden `@/lib/proxmox-api` (`listServers` als `vi.fn()`, der je Fall eine Liste aufloest, und `pollServer` als `vi.fn()`), `@/lib/stores/auth-store` (Selektor-Durchreichung ueber `mockAuthStore`), `next/link` (als `<a>`) und `next-intl`. Die handgeschriebene Uebersetzungstabelle enthaelt mindestens `title`, `description`, `loading`, `loadError`, `emptyState`, `card.refresh`, `card.refreshing`, `card.settingsLink`, `card.unknownValue`, `card.lastPolledLabel`, `card.notPolledYet` (mit `{refreshLabel}`-Ersetzung wie in `ServerCard.test.tsx`) und `card.notPolledYetAutomatic`. Die Seite ueber `import ProxmoxPage from './page'` rendern. Mit `waitFor`/`findByText` auf den Servernamen warten, weil `listServers` asynchron ist. Danach Knopf per `queryByRole('button', { name: 'Jetzt aktualisieren' })` bzw. `getByRole` pruefen. Ein Testfall je Zeile aus `<behavior>`; der Server im Test ist ein nie abgefragter Server (Status wie im Befund-2-Test von `ServerCard.test.tsx`: `lastPolledAt: null`, `reachable: false`, `errorKind: null`). `afterEach` mit `cleanup()` und `vi.clearAllMocks()`. Test ausfuehren, die USER- und null-Faelle muessen ROT sein.
+
+(b) `page.tsx`: Die bestehende Bedingung des Aktualisieren-Knopfs (`servers !== null && servers.length > 0`) zusaetzlich an `isAdmin` knuepfen, sodass der Knopf nur fuer ADMIN/SUPER_ADMIN gerendert wird. Die vorhandene Variable `isAdmin` wiederverwenden, keinen neuen Rollen-Mechanismus einfuehren. `handleRefresh` bleibt unveraendert. An der Render-Stelle `<ServerCard server={server} />` die Eigenschaft `isAdmin={isAdmin}` weiterreichen. Den Kopfkommentar der Komponente um einen Satz ergaenzen: Der Knopf erscheint nur fuer Admins, weil `POST servers/:id/poll` `@Roles(ADMIN, SUPER_ADMIN)` verlangt; fuer andere waere er wirkungslos (260923-le6). Sonst nichts an der Seite aendern: keine neuen Texte, kein Layout, keine Import-Umsortierung. Das vorbestehende organizeImports-Signal von biome in dieser Datei bleibt unangetastet.
+
+Tests GRUEN sehen. Commit `fix(260923-le6): Aktualisieren-Knopf der Proxmox-Seite nur fuer Admins`.
+  </action>
+  <verify>
+    <automated>pnpm --filter web exec vitest run "src/app/(portal)/modules/proxmox"</automated>
+    <automated>grep -c 'isAdmin={isAdmin}' "apps/web/src/app/(portal)/modules/proxmox/page.tsx"</automated>
+    <automated>pnpm --filter web type-check</automated>
+  </verify>
+  <done>Alle Web-Tests im Proxmox-Verzeichnis gruen (ServerCard, ServerForm, neuer Seitentest mit mindestens 5 Faellen: USER, null, ADMIN, SUPER_ADMIN, leere Liste). `page.tsx` reicht `isAdmin={isAdmin}` an `ServerCard` weiter. Web-Typpruefung ohne Fehler.</done>
+</task>
+
+</tasks>
+
+<threat_model>
+## Trust Boundaries
+
+| Boundary | Description |
+|----------|-------------|
+| Browser -> API `POST /proxmox/servers/:id/poll` | Nicht-Admin koennte die Abfrage manuell ausloesen; die Berechtigung prueft ausschliesslich der Server (`@Roles(ADMIN, SUPER_ADMIN)`) |
+| PMG-Server -> `normalizePmg` | Fremde, nur angenommene Antwortform (Annahme A5); unvollstaendige Felder duerfen keinen falschen Wert erzeugen |
+
+## STRIDE Threat Register
+
+| Threat ID | Category | Component | Severity | Disposition | Mitigation Plan |
+|-----------|----------|-----------|----------|-------------|-----------------|
+| T-le6-01 | Elevation of Privilege | `POST servers/:id/poll` | low | accept | Das Ausblenden des Knopfes ist reine Oberflaeche, keine Sicherheitsgrenze. Die Durchsetzung bleibt unveraendert serverseitig per `@Roles(Role.ADMIN, Role.SUPER_ADMIN)` in `proxmox.controller.ts:89-90`. Dieser Plan aendert den Controller nicht. |
+| T-le6-02 | Tampering (Integritaet der Anzeige) | `sumOrNull` in `normalizePmg` | medium | mitigate | Aufgabe 1: Summe null, sobald ein Teilwert fehlt oder unlesbar ist. Die neuen Tests decken beide Richtungen fuer Spam und Viren ab. |
+| T-le6-03 | Information Disclosure | `ServerCard` Hinweistext | low | accept | Der neue Text enthaelt keine Server- oder Zugangsdaten, nur einen statischen Hinweis. |
+</threat_model>
+
+<verification>
+Nach allen drei Aufgaben (vom Planer an der Ausgangslage 6530ae5 geprueft: alles gruen, `biome lint` sauber):
+
+- `pnpm --filter api exec vitest run src/proxmox` gruen
+- `pnpm --filter web exec vitest run "src/app/(portal)/modules/proxmox" src/messages` gruen
+- `pnpm --filter api type-check` und `pnpm --filter web type-check` ohne Fehler
+- `pnpm exec biome lint apps/api/src/proxmox/proxmox-normalize.ts apps/api/src/proxmox/proxmox-normalize.spec.ts "apps/web/src/app/(portal)/modules/proxmox/page.tsx" "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx" "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx" "apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx"` ohne Befund
+- `pnpm exec biome check "apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx"` ohne Befund (neue Datei, voll konform)
+- `biome check` auf den fuenf VORHANDENEN Dateien: vorher 6 Befunde, alle vorbestehend (Formatierung je Datei, dazu organizeImports in `page.tsx`). Deren Anzahl darf nicht steigen. Die vorbestehenden Befunde werden nicht mit behoben, das waere fremder Diff (Festlegung: kein Umbau).
+- Keine Container-Neubauten, kein Deploy, keine Browserpruefung in diesem Plan
+</verification>
+
+<success_criteria>
+- Eine PMG-Antwort mit nur einer Haelfte eines Spam- oder Viren-Paares ergibt `null`, die Seite zeigt dort also „unbekannt“ statt einer Teilsumme.
+- Auf der Proxmox-Modulseite sehen nur ADMIN und SUPER_ADMIN „Jetzt aktualisieren“. Der Hinweis fuer nie abgefragte Server verweist Nicht-Admins auf die automatische Abfrage statt auf den Knopf.
+- Sonst keine sichtbare Aenderung an der Modulseite.
+- In der SUMMARY als Beobachtung vermerken, nicht beheben: Inaktive Server (`isActive: false`) werden nicht automatisch abgefragt. Fuer einen inaktiven, nie abgefragten Server stimmt der neue Nicht-Admin-Text deshalb nicht ganz. Das ist ein vorbestehender Randfall, denn auch die Karte fuer Admins beachtet `isActive` heute nicht. Er liegt ausserhalb dieses Auftrags (Festlegung: kein Umbau) und wird dem Nutzer zur Entscheidung vorgelegt.
+- In der SUMMARY vermerken, dass damit die offene Luecke (Wahrheit 7) aus `260923-dhh-VERIFICATION.md` geschlossen ist.
+</success_criteria>
+
+<output>
+Create `.planning/quick/260923-le6-proxmox-abnahmebefunde-sumornull-null-be/260923-le6-SUMMARY.md` when done
+</output>

.planning/quick/260923-le6-proxmox-abnahmebefunde-sumornull-null-be/260923-le6-SUMMARY.md

@@ -0,0 +1,174 @@
+---
+phase: quick
+plan: 260923-le6
+subsystem: proxmox-modul
+tags: [nestjs, next-intl, vitest, tdd, proxmox]
+
+requires:
+  - phase: quick-260923-dhh
+    provides: "Proxmox-Modul (PVE/PBS/PMG) inklusive normalizePmg und ServerCard; Abnahmebefund Wahrheit 7 (PMG-Teilsumme) blieb offen"
+provides:
+  - "sumOrNull liefert null, sobald ein Teilwert einer PMG-Summe (Spam/Viren) fehlt oder unlesbar ist — nie mehr eine Teilsumme"
+  - "ServerCard zeigt Nicht-Admins fuer nie abgefragte Server einen Hinweis ohne Knopfverweis (isAdmin-Eigenschaft, Vorgabe false)"
+  - "Proxmox-Modulseite zeigt den Knopf 'Jetzt aktualisieren' nur ADMIN/SUPER_ADMIN"
+affects: [proxmox-modul, dashboard-kachel-proxmox]
+
+actuals:
+  tokens: 4581
+  tasks: 3
+  commits: 4
+plan_head_before: 6530ae5
+
+tech-stack:
+  added: []
+  patterns:
+    - "isAdmin?: boolean (Vorgabe false) als sichere Eigenschaft fuer UI-Elemente, deren serverseitige Aktion rollenbeschraenkt ist (uebernimmt das bestehende Muster aus page.tsx, kein neuer Mechanismus)"
+
+key-files:
+  created:
+    - apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx
+  modified:
+    - apps/api/src/proxmox/proxmox-normalize.ts
+    - apps/api/src/proxmox/proxmox-normalize.spec.ts
+    - apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx
+    - apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx
+    - apps/web/src/messages/de.json
+    - apps/web/src/messages/en.json
+    - apps/web/src/app/(portal)/modules/proxmox/page.tsx
+
+key-decisions:
+  - "Wortwahl fuer notPolledYetAutomatic: 'nach der naechsten automatischen Abfrage' statt 'in Kuerze', weil das Poll-Intervall je Server 1-1440 Minuten einstellbar ist und 'in Kuerze' nicht immer zutraefe"
+
+patterns-established:
+  - "sumOrNull(a, b): null wenn a ODER b null ist (statt Ersatz-durch-Null) — Muster fuer jede zukuenftige Tageszahl aus zwei Teilwerten"
+
+requirements-completed: []
+
+coverage:
+  - id: D1
+    description: "PMG-Summe (Spam/Viren) ist null, sobald genau eine Haelfte fehlt oder unlesbar ist — in beide Richtungen (in/out), Paare unabhaengig voneinander"
+    verification:
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox-normalize.spec.ts#nur eine Haelfte vorhanden -> null (Spam, nur spamcount_in)"
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox-normalize.spec.ts#nur eine Haelfte vorhanden -> null (Spam, nur spamcount_out)"
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox-normalize.spec.ts#nur eine Haelfte vorhanden -> null (Viren, nur viruscount_in)"
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox-normalize.spec.ts#nur eine Haelfte vorhanden -> null (Viren, nur viruscount_out)"
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox-normalize.spec.ts#eine Haelfte ist nicht lesbar -> null (Spam, spamcount_out ist Text)"
+        status: pass
+      - kind: unit
+        ref: "apps/api/src/proxmox/proxmox-normalize.spec.ts#Unabhaengigkeit der Paare: Spam unvollstaendig, Viren vollstaendig"
+        status: pass
+    human_judgment: false
+  - id: D2
+    description: "Auf der Proxmox-Modulseite sehen nur ADMIN/SUPER_ADMIN den Knopf 'Jetzt aktualisieren'; USER und ein noch nicht geladener Benutzer sehen ihn nicht; ServerCard verweist Nicht-Admins nicht auf den Knopf"
+    verification:
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx#Rolle USER: kein Knopf"
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx#kein Benutzer geladen (user: null): kein Knopf"
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx#Rolle ADMIN: Knopf sichtbar"
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx#Rolle SUPER_ADMIN: Knopf sichtbar"
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx#leere Serverliste bei ADMIN: weiterhin kein Knopf"
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx#260923-le6: isAdmin={false}, noch nie abgefragt -> automatischer Hinweis ohne Knopfverweis"
+        status: pass
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx#260923-le6: isAdmin weggelassen -> verhaelt sich wie isAdmin={false}"
+        status: pass
+    human_judgment: false
+
+duration: 21min
+completed: 2026-09-23
+status: complete
+---
+
+# Quick Task 260923-le6: Zwei Abnahmebefunde des Proxmox-Moduls behoben Summary
+
+**PMG-Teilsumme wird null statt still falsch (sumOrNull), Aktualisieren-Knopf der Proxmox-Modulseite nur noch fuer ADMIN/SUPER_ADMIN sichtbar**
+
+## Performance
+
+- **Duration:** 21 min
+- **Started:** 2026-09-23T13:12:00Z
+- **Completed:** 2026-09-23T13:33:50Z
+- **Tasks:** 3
+- **Files modified:** 8 (7 geaendert, 1 neu)
+
+## Accomplishments
+- `sumOrNull(a, b)` in `proxmox-normalize.ts` liefert `null`, sobald ein Teilwert (Spam oder Viren, je Richtung in/out) fehlt oder nicht lesbar ist — die bisherige stille Ersatz-durch-0-Addition ist vollstaendig entfernt. Damit ist Wahrheit 7 (Blocker) aus `260923-dhh-VERIFICATION.md` geschlossen.
+- `ServerCard` bekommt die optionale Eigenschaft `isAdmin` (Vorgabe `false`) und zeigt Nicht-Admins fuer einen nie abgefragten Server einen neuen Hinweistext (`proxmox.card.notPolledYetAutomatic`, de/en), der auf keinen Knopf verweist.
+- Die Proxmox-Modulseite zeigt den Knopf "Jetzt aktualisieren" nur noch, wenn `isAdmin` wahr ist (bestehende Variable wiederverwendet, kein neuer Rollen-Mechanismus), und reicht `isAdmin` an `ServerCard` weiter.
+
+## Task Commits
+
+Alle Aufgaben wurden per TDD (RED -> GREEN) umgesetzt und einzeln committet:
+
+1. **Aufgabe 1 (RED): PMG-Teilsumme-Tests** - `c13d657` (test)
+2. **Aufgabe 1 (GREEN): sumOrNull korrigiert** - `2eb86e1` (fix)
+3. **Aufgabe 2: ServerCard mit isAdmin und zweitem Hinweistext** - `2f8dd14` (fix)
+4. **Aufgabe 3: Aktualisieren-Knopf nur fuer Admins** - `e1b191b` (fix)
+
+_Hinweis: Aufgabe 1 hatte planmaessig zwei Commits (RED/GREEN); Aufgaben 2 und 3 wurden je in einem Commit umgesetzt, wie im Plan vorgesehen (Tests zuerst rot gesehen, dann implementiert, ein Commit je Aufgabe)._
+
+## Files Created/Modified
+- `apps/api/src/proxmox/proxmox-normalize.ts` - `sumOrNull` liefert `null` bei fehlendem Teilwert statt Ersatz-durch-0
+- `apps/api/src/proxmox/proxmox-normalize.spec.ts` - 6 neue Testfaelle fuer beide Richtungen (Spam/Viren), unlesbare Haelfte, Unabhaengigkeit der Paare
+- `apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx` - neue `isAdmin`-Eigenschaft (Vorgabe `false`), waehlt den Hinweistext fuer nie abgefragte Server
+- `apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx` - bestehenden Test auf `isAdmin` umgestellt, zwei neue Faelle (`isAdmin={false}`, weggelassen)
+- `apps/web/src/messages/de.json` / `en.json` - neuer Schluessel `proxmox.card.notPolledYetAutomatic`
+- `apps/web/src/app/(portal)/modules/proxmox/page.tsx` - Knopf nur bei `isAdmin`, reicht `isAdmin={isAdmin}` an `ServerCard` weiter
+- `apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx` (neu) - Seitentest mit 5 Faellen (USER, `user: null`, ADMIN, SUPER_ADMIN, leere Liste bei ADMIN)
+
+## Decisions Made
+- Formulierung "Noch keine Abfrage gelaufen. Die Werte erscheinen nach der naechsten automatischen Abfrage." statt eines "in Kuerze"-Hinweises, weil das Poll-Intervall je Server zwischen 1 und 1440 Minuten liegen kann (`@Max(1440)`) — die gewaehlte Formulierung stimmt bei jedem Intervall und verweist auf keinen Knopf.
+- Keine weiteren Aenderungen an der Modulseite (Festlegung des Nutzers: kein Umbau, keine zusaetzlichen Details oder Statusfarben) — bestaetigt eingehalten.
+
+## Deviations from Plan
+
+None - plan genau wie geschrieben ausgefuehrt.
+
+## Issues Encountered
+None.
+
+## Beobachtungen (nicht behoben, dem Nutzer zur Entscheidung vorgelegt)
+- **Inaktive Server:** Ein inaktiver, nie abgefragter Server (`isActive: false`) wird nicht automatisch abgefragt (`proxmox-scheduler.service.ts` fragt nur aktive Server ab). Der neue Nicht-Admin-Hinweistext "...erscheinen nach der naechsten automatischen Abfrage" trifft fuer diesen Randfall nicht ganz zu. Das ist ein vorbestehender Randfall — auch die Admin-Karte beachtet `isActive` heute nicht — und liegt ausserhalb dieses Auftrags (Festlegung: kein Umbau). Wird hier nur vermerkt, nicht behoben.
+
+## Verifikation (alle gruen, wie im Plan verlangt)
+- `pnpm --filter api exec vitest run src/proxmox` - 82 Tests gruen (26 in `proxmox-normalize.spec.ts`, davon 6 neu)
+- `pnpm --filter web exec vitest run "src/app/(portal)/modules/proxmox" src/messages` - 32 Tests gruen
+- `pnpm --filter api type-check` und `pnpm --filter web type-check` - ohne Fehler
+- `biome lint` auf den 6 Plan-Dateien - ohne Befund
+- `biome check` auf der neuen Datei `proxmox-page-roles.test.tsx` - ohne Befund (nach `biome check --write` fuer Formatierung)
+- `biome check` auf den 5 vorbestehenden Dateien - weiterhin genau 6 Befunde (vorbestehende Formatierung + `organizeImports` in `page.tsx`), keine neuen Befunde — wie im Plan festgelegt nicht behoben (fremder Diff)
+- Keine Container-Neubauten, kein Deploy, keine Browserpruefung — wie im Plan vorgesehen
+
+## User Setup Required
+None - keine externe Konfiguration noetig.
+
+## Next Phase Readiness
+- Die offene Luecke (Wahrheit 7) aus `260923-dhh-VERIFICATION.md` ist geschlossen; das Proxmox-Modul hat keine bekannten offenen Abnahmebefunde mehr.
+- Offen beim Nutzer (keine Entscheidung noetig, nur zur Kenntnis): der oben vermerkte Randfall bei inaktiven, nie abgefragten Servern.
+
+## Self-Check: PASSED
+
+Alle im Plan genannten Dateien wurden gefunden, alle vier Commits sind im Log nachweisbar.
+
+---
+*Plan: 260923-le6*
+*Completed: 2026-09-23*

.planning/todos/pending/2026-09-23-flackernder-test-tenant-selector-zeitueberschreitung.md

@@ -0,0 +1,51 @@
+---
+created: 2026-09-23
+title: Flackernder Test "TenantContextSelector" — Zeitüberschreitung bei 5 s, hat die Freigabe 1.3.1 blockiert
+area: apps/web
+severity: flake
+trigger: sobald wieder an apps/web gearbeitet wird — spätestens vor der nächsten Freigabe, weil der Fall dort teuer ist.
+relates_to: Freigabe v1.3.1 (CI-Lauf 418, Job 1262)
+---
+
+## Was passiert ist
+
+Beim Freigeben von 1.3.1 lösen drei Pipelines gleichzeitig aus (`main`, Zweig
+`live`, Tag `v1.3.1`). Auf dem Tag-Lauf fiel der Test
+
+```
+src/app/(portal)/marketplace/tenant-selector.test.tsx
+  > TenantContextSelector > renders tenant options for SUPER_ADMIN; renders nothing for ADMIN
+```
+
+mit `Error: Test timed out in 5000ms` aus. **Derselbe Commit** (`ad004b28`) war
+im selben Zeitraum auf `main` (Lauf 1025) und auf `live` (Lauf 1026) grün — es
+ist also kein Fehler im Code, sondern der Läufer war mit drei parallelen
+Pipelines ausgelastet und der Test lief in sein 5-Sekunden-Limit.
+
+## Warum das teuer war
+
+Der Abbild-Bau hängt am Test-Job. Rot heißt: **„Build & Publish Images" und
+„Desktop-Pakete bauen" wurden übersprungen** — die Freigabe war damit getaggt,
+aber nicht gebaut. Kein `live`-Abbild, kein Gitea-Release, keine
+Desktop-Pakete. Erst ein Neustart des Laufs (Gitea-API,
+`POST /actions/runs/418/rerun`) hat alles nachgeholt.
+
+Das trifft **jede** Freigabe, weil jede Freigabe drei gleichzeitige Läufe
+auslöst. Der Fall wiederholt sich also, nicht zufällig.
+
+## Was zu tun ist
+
+1. Den Test ansehen: warum braucht er überhaupt nahe 5 s? Verdacht ist ein
+   `waitFor` auf etwas, das erst nach einem Datenabruf erscheint, oder zwei
+   Fälle (SUPER_ADMIN und ADMIN) in EINEM `it`, das dadurch doppelt so lange
+   läuft — der Testname nennt beide Fälle in einem Satz.
+2. Entweder auftrennen (zwei `it`-Blöcke) oder die Wartezeit gezielt erhöhen.
+   Ein globales Hochsetzen von `testTimeout` versteckt nur, dass hier etwas
+   langsam ist.
+3. Prüfen, ob weitere Tests nahe am Limit liegen — die Läuferlast bleibt ja.
+
+## Nicht die Lösung
+
+Die drei parallelen Pipelines abschalten: der Lauf auf `main` und der auf dem
+Tag prüfen unterschiedliche Dinge, und der `live`-Lauf ist die Absicherung,
+dass der Zweig für sich genommen grün ist.

CHANGELOG.md

@@ -4,6 +4,10 @@ Diese Liste beschreibt in einfachen Worten, was sich von Version zu Version an T
 
 ## Unveröffentlicht
 
+### Neu
+
+- Das Dashboard hat jetzt mehrere Reiter: Sie können beliebig viele Dashboards anlegen, jeder mit eigenen Kacheln und eigener Anordnung, per Ziehen umsortierbar, wobei der erste Reiter beim Öffnen geladen wird. Ihre vorhandenen Kacheln bleiben dabei unverändert auf dem ersten Reiter liegen.
+
 ## 1.3.1 – 2026-09-23
 
 ### Geändert

apps/api/prisma/migrations/20260923120000_dashboard_tabs/migration.sql

@@ -0,0 +1,113 @@
+-- 260923-ad9 — Dashboard-Reiter: mehrere Dashboards je Benutzer.
+--
+-- Zweck: das Dashboard traegt heute genau eine Kachelflaeche je Benutzer.
+-- Diese Migration gibt jedem Benutzer mehrere Dashboards ("Reiter"), die
+-- oben nebeneinander stehen: jeder Reiter mit eigenen Kacheln und eigener
+-- Anordnung, per Ziehen umsortierbar.
+--
+-- D-01: `position` (Integer) traegt die Reihenfolge, aufsteigend sortiert.
+-- KEIN Unique auf (userId, position) — beim Umsortieren werden alle
+-- Positionen eines Benutzers in EINER Transaktion neu geschrieben
+-- (dashboard.service.ts, reorderDashboards, Muster FavoritesService.reorder);
+-- ein Unique waere dabei nur im Weg.
+--
+-- D-03: niemand verliert etwas. Fuer jeden Benutzer, der heute Kacheln ODER
+-- eine gespeicherte Anordnung hat, entsteht genau EIN Dashboard mit
+-- position = 0 und dem Namen "Dashboard"; vorhandene Kacheln und die
+-- vorhandene Anordnung werden darauf umgehaengt. Diese Bestandsuebernahme
+-- MUSS vor den Fremdschluesseln laufen, sonst scheitert sie an genau diesen
+-- — deshalb steht sie unten vor den ALTER-TABLE-Schritten fuer
+-- WidgetInstance/DashboardLayout.
+--
+-- D-04: Zeilenschutz ist Pflicht. Die neue Tabelle traegt `tenantId` und
+-- dieselbe Regel wie ihre Nachbarn — Mandant UND Benutzerdimension von
+-- Anfang an (Form aus 20260911120000_rls_user_dimension_personal_tables,
+-- uebernommen aus 20260921120000_dashboard_image).
+--
+-- Rechte fuer die Anwendungsrolle tessera_app kommen ueber ALTER DEFAULT
+-- PRIVILEGES aus 20260909130000_rls_app_role automatisch — hier nichts zu
+-- tun.
+--
+-- WICHTIG: wie alle bisherigen RLS-Migrationen wirkt die Regel erst, wenn
+-- die Anwendung als Rolle ohne Umgehungsrecht verbindet (Schalter heute AUS,
+-- siehe docs/mandantentrennung-datenbankrolle.md).
+
+-- 1) Tabelle Dashboard anlegen, Indizes auf userId und tenantId.
+CREATE TABLE "Dashboard" (
+    "id" TEXT NOT NULL,
+    "userId" TEXT NOT NULL,
+    "tenantId" TEXT NOT NULL,
+    "name" TEXT NOT NULL,
+    "position" INTEGER NOT NULL,
+    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "updatedAt" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Dashboard_pkey" PRIMARY KEY ("id")
+);
+
+CREATE INDEX "Dashboard_userId_idx" ON "Dashboard"("userId");
+CREATE INDEX "Dashboard_tenantId_idx" ON "Dashboard"("tenantId");
+
+-- 2) Zeilenschutz: Mandant UND Benutzer (Muster 20260911120000/20260921120000).
+ALTER TABLE "Dashboard" ENABLE ROW LEVEL SECURITY;
+ALTER TABLE "Dashboard" FORCE ROW LEVEL SECURITY;
+CREATE POLICY tenant_isolation_policy ON "Dashboard"
+  USING (
+    "tenantId" = current_tenant_id()
+    AND (current_user_id() IS NULL OR "userId" = current_user_id())
+  );
+
+-- 3) Bestandsuebernahme (D-03): je Benutzer aus der Vereinigung der
+-- Benutzer mit Kacheln und der Benutzer mit gespeicherter Anordnung genau
+-- EINE Zeile einfuegen. DISTINCT ON sichert "je Benutzer genau eine Zeile"
+-- auch fuer den theoretischen Fall "derselbe Benutzer mit zwei
+-- Mandantenkennungen" ab (deterministische Wahl ueber die Sortierung nach
+-- tenantId als zweitem Kriterium).
+INSERT INTO "Dashboard" ("id", "userId", "tenantId", "name", "position", "createdAt", "updatedAt")
+SELECT gen_random_uuid(), bestand."userId", bestand."tenantId", 'Dashboard', 0, CURRENT_TIMESTAMP, CURRENT_TIMESTAMP
+FROM (
+  SELECT DISTINCT ON ("userId") "userId", "tenantId"
+  FROM (
+    SELECT "userId", "tenantId" FROM "WidgetInstance"
+    UNION ALL
+    SELECT "userId", "tenantId" FROM "DashboardLayout"
+  ) AS vereinigung
+  ORDER BY "userId", "tenantId"
+) AS bestand;
+
+-- 4) WidgetInstance.dashboardId: zunaechst NULLbar ergaenzen, aus der neuen
+-- Tabelle ueber die Benutzerkennung befuellen (fuer jeden Benutzer mit
+-- Kacheln existiert nach Schritt 3 GENAU ein Dashboard), dann NOT NULL,
+-- Index, Fremdschluessel mit Loeschweitergabe.
+ALTER TABLE "WidgetInstance" ADD COLUMN "dashboardId" TEXT;
+
+UPDATE "WidgetInstance" wi
+SET "dashboardId" = d."id"
+FROM "Dashboard" d
+WHERE d."userId" = wi."userId";
+
+ALTER TABLE "WidgetInstance" ALTER COLUMN "dashboardId" SET NOT NULL;
+CREATE INDEX "WidgetInstance_dashboardId_idx" ON "WidgetInstance"("dashboardId");
+ALTER TABLE "WidgetInstance" ADD CONSTRAINT "WidgetInstance_dashboardId_fkey"
+  FOREIGN KEY ("dashboardId") REFERENCES "Dashboard"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- 5) DashboardLayout.dashboardId: dieselbe Uebernahme; zusaetzlich die
+-- Eindeutigkeit auf userId entfernen (mehrere Reiter je Benutzer sind jetzt
+-- erlaubt), dort einen gewoehnlichen Index anlegen, und die Eindeutigkeit
+-- auf dashboardId anlegen (ein Reiter hat hoechstens eine gespeicherte
+-- Anordnung).
+ALTER TABLE "DashboardLayout" ADD COLUMN "dashboardId" TEXT;
+
+UPDATE "DashboardLayout" dl
+SET "dashboardId" = d."id"
+FROM "Dashboard" d
+WHERE d."userId" = dl."userId";
+
+ALTER TABLE "DashboardLayout" ALTER COLUMN "dashboardId" SET NOT NULL;
+
+DROP INDEX "DashboardLayout_userId_key";
+CREATE INDEX "DashboardLayout_userId_idx" ON "DashboardLayout"("userId");
+
+CREATE UNIQUE INDEX "DashboardLayout_dashboardId_key" ON "DashboardLayout"("dashboardId");
+ALTER TABLE "DashboardLayout" ADD CONSTRAINT "DashboardLayout_dashboardId_fkey"
+  FOREIGN KEY ("dashboardId") REFERENCES "Dashboard"("id") ON DELETE CASCADE ON UPDATE CASCADE;

apps/api/prisma/migrations/20260923140000_proxmox_server/migration.sql

@@ -0,0 +1,94 @@
+-- 260923-dhh — Proxmox-Modul (PVE/PBS/PMG), nur beobachten (D-01).
+--
+-- Zweck: zwei neue Tabellen fuer das Proxmox-Modul. `ProxmoxServer` traegt
+-- die vom Administrator eingetragenen Server (Name, Typ, Adresse, Zugang,
+-- verschluesselt) — mehrere Zeilen je Mandant, Vorbild `CalendarSource`,
+-- NICHT `DkvModuleConfig` (Singleton je Mandant). `ProxmoxServerStatus` ist
+-- das Zwischenlager (D-05): der Hintergrunddienst (Aufgabe 4) beschreibt
+-- diese Zeile, die Modulseite liest ausschliesslich daraus.
+--
+-- Von Hand geschrieben (Vorbild 20260923120000_dashboard_tabs), von Hand
+-- gepflegter Kopfkommentar Pflicht bei jeder RLS-Migration in diesem Projekt.
+--
+-- Zeilenschutz (D-08, Pflicht — sonst schlaegt rls-coverage.spec.ts fehl):
+-- beide Tabellen tragen `tenantId` und `tenant_isolation_policy` OHNE
+-- Benutzerdimension (`USING ("tenantId" = current_tenant_id())`, Form aus
+-- `DkvModuleConfig`, Migration 20260909140000) — Proxmox-Server sind
+-- Verwaltungsdaten des Mandanten, nicht persoenliche Daten eines einzelnen
+-- Benutzers.
+--
+-- Zusaetzlich NUR auf "ProxmoxServer" eine `system_read_policy` (Form aus
+-- 20260914120000_rls_system_context_read): der Hintergrunddienst aus
+-- Aufgabe 4 muss beim Start ueber `forSystem()` die aktiven Server ALLER
+-- Mandanten sehen, um je Mandant einen eigenen Cron-Auftrag zu registrieren
+-- (Muster DKV-/Tender-Planer). "ProxmoxServerStatus" bekommt diese Regel
+-- BEWUSST NICHT — geschrieben wird dort ausschliesslich je Zeile
+-- mandantengebunden (`forTenant(prisma, tenantId)`), ein Systemlesezugriff
+-- auf das Zwischenlager hat keinen Aufrufer.
+--
+-- Rechte fuer die Anwendungsrolle tessera_app kommen automatisch ueber
+-- ALTER DEFAULT PRIVILEGES aus 20260909130000_rls_app_role — hier nichts zu
+-- tun.
+--
+-- WICHTIG: wie alle bisherigen RLS-Migrationen wirken diese Regeln erst,
+-- wenn die Anwendung als Rolle ohne Umgehungsrecht verbindet (Schalter
+-- heute AUS, siehe docs/mandantentrennung-datenbankrolle.md).
+
+-- 1) ProxmoxServer
+CREATE TABLE "ProxmoxServer" (
+    "id" TEXT NOT NULL,
+    "tenantId" TEXT NOT NULL,
+    "name" TEXT NOT NULL,
+    "productType" TEXT NOT NULL,
+    "baseUrl" TEXT NOT NULL,
+    "authMethod" TEXT NOT NULL,
+    "tokenId" TEXT,
+    "encryptedTokenSecret" TEXT,
+    "username" TEXT,
+    "encryptedPassword" TEXT,
+    "tlsRejectUnauthorized" BOOLEAN NOT NULL DEFAULT true,
+    "isActive" BOOLEAN NOT NULL DEFAULT true,
+    "pollIntervalMin" INTEGER NOT NULL DEFAULT 5,
+    "position" INTEGER NOT NULL DEFAULT 0,
+    "createdAt" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "updatedAt" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "ProxmoxServer_pkey" PRIMARY KEY ("id")
+);
+
+CREATE INDEX "ProxmoxServer_tenantId_idx" ON "ProxmoxServer"("tenantId");
+
+ALTER TABLE "ProxmoxServer" ENABLE ROW LEVEL SECURITY;
+ALTER TABLE "ProxmoxServer" FORCE ROW LEVEL SECURITY;
+CREATE POLICY tenant_isolation_policy ON "ProxmoxServer"
+  USING ("tenantId" = current_tenant_id());
+CREATE POLICY system_read_policy ON "ProxmoxServer"
+  FOR SELECT USING (is_system_context());
+
+-- 2) ProxmoxServerStatus — Zwischenlager, 1:1 je Server, Loeschweitergabe.
+CREATE TABLE "ProxmoxServerStatus" (
+    "id" TEXT NOT NULL,
+    "serverId" TEXT NOT NULL,
+    "tenantId" TEXT NOT NULL,
+    "lastPolledAt" TIMESTAMP(3),
+    "lastOkAt" TIMESTAMP(3),
+    "reachable" BOOLEAN NOT NULL DEFAULT false,
+    "errorKind" TEXT,
+    "errorDetail" TEXT,
+    "metrics" JSONB,
+    "rawSample" JSONB,
+    "updatedAt" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "ProxmoxServerStatus_pkey" PRIMARY KEY ("id")
+);
+
+CREATE UNIQUE INDEX "ProxmoxServerStatus_serverId_key" ON "ProxmoxServerStatus"("serverId");
+CREATE INDEX "ProxmoxServerStatus_tenantId_idx" ON "ProxmoxServerStatus"("tenantId");
+
+ALTER TABLE "ProxmoxServerStatus" ADD CONSTRAINT "ProxmoxServerStatus_serverId_fkey"
+  FOREIGN KEY ("serverId") REFERENCES "ProxmoxServer"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+ALTER TABLE "ProxmoxServerStatus" ENABLE ROW LEVEL SECURITY;
+ALTER TABLE "ProxmoxServerStatus" FORCE ROW LEVEL SECURITY;
+CREATE POLICY tenant_isolation_policy ON "ProxmoxServerStatus"
+  USING ("tenantId" = current_tenant_id());

apps/api/prisma/schema.prisma

@@ -187,14 +187,45 @@ model ModuleGrant {
   @@index([moduleId])
 }
 
-model DashboardLayout {
-  id        String   @id @default(uuid())
-  userId    String   @unique
+// Dashboard-Reiter (quick-260923-ad9, D-01/D-02/D-09): mehrere Dashboards je
+// Benutzer, ueber `position` (Integer) aufsteigend sortiert. KEIN Unique auf
+// (userId, position) — `reorderDashboards` (Muster FavoritesService.reorder)
+// schreibt beim Umsortieren ALLE Positionen eines Benutzers in EINER
+// Transaktion neu; ein Unique waere dabei nur im Weg (kollidiert waehrend
+// des Umschreibens mit sich selbst). KEIN eigenes Standard-Feld: "als
+// Favorit festlegen" IST das Nach-vorn-Ziehen (D-09) — Position 0 ist der
+// Standard, es gibt keine zweite Wahrheit daneben. Keine Relation zu
+// User/Tenant — Form der Nachbarmodelle WidgetInstance/DashboardImage (eine
+// Relation zu User wuerde an Bestandszeilen verwaister Benutzer scheitern).
+model Dashboard {
+  id        String           @id @default(uuid())
+  userId    String
   tenantId  String
-  layouts   Json     @default("{}")
-  createdAt DateTime @default(now())
-  updatedAt DateTime @updatedAt
+  name      String
+  position  Int
+  createdAt DateTime         @default(now())
+  updatedAt DateTime         @updatedAt
+  widgets   WidgetInstance[]
+  layout    DashboardLayout?
 
+  @@index([userId])
+  @@index([tenantId])
+}
+
+model DashboardLayout {
+  id          String    @id @default(uuid())
+  userId      String
+  tenantId    String
+  // quick-260923-ad9 (D-02): haengt jetzt am Dashboard statt am Benutzer —
+  // die Eindeutigkeit wandert von userId auf dashboardId, userId/tenantId
+  // bleiben fuer Besitz- und Mandantenpruefung erhalten.
+  dashboardId String    @unique
+  dashboard   Dashboard @relation(fields: [dashboardId], references: [id], onDelete: Cascade)
+  layouts     Json      @default("{}")
+  createdAt   DateTime  @default(now())
+  updatedAt   DateTime  @updatedAt
+
+  @@index([userId])
   @@index([tenantId])
 }
 
@@ -202,6 +233,10 @@ model WidgetInstance {
   id             String         @id @default(uuid())
   userId         String
   tenantId       String
+  // quick-260923-ad9 (D-02): Kacheln haengen ab jetzt am Reiter, nicht mehr
+  // nur am Benutzer.
+  dashboardId    String
+  dashboard      Dashboard      @relation(fields: [dashboardId], references: [id], onDelete: Cascade)
   widgetType     String
   config         Json           @default("{}")
   createdAt      DateTime       @default(now())
@@ -210,6 +245,7 @@ model WidgetInstance {
 
   @@index([userId])
   @@index([tenantId])
+  @@index([dashboardId])
 }
 
 // Bilderrahmen-Widget (quick-260921-pi9): hochgeladene Bilder eines Benutzers.
@@ -615,3 +651,54 @@ model TenderRssFeedSource {
   @@unique([userId, url])
   @@index([userId])
 }
+
+// Quick-Auftrag 260923-dhh — Proxmox-Modul (PVE/PBS/PMG), nur beobachten (D-01).
+//
+// Vorbild ist `CalendarSource` (mehrere verschluesselte Fremdsystem-Zugaenge
+// je Mandant), NICHT `DkvModuleConfig` (Singleton je Mandant): ein Mandant
+// traegt hier beliebig viele Server ein. `authMethod` waehlt zwischen einem
+// API-Token (`tokenId`/`encryptedTokenSecret`) und Benutzer/Passwort
+// (`username`/`encryptedPassword`); PMG kennt laut Recherche nur Letzteres
+// (DTO lehnt Token bei PMG serverseitig ab, D-03). `tlsRejectUnauthorized`
+// ist woertlich der Feldname aus `LdapConfig` — Voreinstellung "pruefen",
+// pro Zeile umschaltbar, nie global (D-04).
+model ProxmoxServer {
+  id                   String   @id @default(uuid())
+  tenantId             String
+  name                 String
+  productType          String   // 'pve' | 'pbs' | 'pmg'
+  baseUrl              String
+  authMethod           String   // 'token' | 'password'
+  tokenId              String?
+  encryptedTokenSecret String?  // AES-256-GCM ciphertext (iv:authTag:ciphertext hex), wie CalendarSource.encryptedPassword
+  username             String?
+  encryptedPassword    String?  // AES-256-GCM ciphertext (iv:authTag:ciphertext hex)
+  tlsRejectUnauthorized Boolean @default(true)
+  isActive             Boolean  @default(true)
+  pollIntervalMin      Int      @default(5)
+  position             Int      @default(0)
+  createdAt            DateTime @default(now())
+  updatedAt            DateTime @updatedAt
+  status               ProxmoxServerStatus?
+
+  @@index([tenantId])
+}
+
+// Zwischenlager (D-05): der Hintergrunddienst (Aufgabe 4) beschreibt diese
+// Zeile, die Modulseite liest ausschliesslich daraus — nie live bei Proxmox.
+model ProxmoxServerStatus {
+  id           String        @id @default(uuid())
+  serverId     String        @unique
+  server       ProxmoxServer @relation(fields: [serverId], references: [id], onDelete: Cascade)
+  tenantId     String
+  lastPolledAt DateTime?
+  lastOkAt     DateTime?
+  reachable    Boolean       @default(false)
+  errorKind    String?
+  errorDetail  String?
+  metrics      Json?
+  rawSample    Json?
+  updatedAt    DateTime      @updatedAt
+
+  @@index([tenantId])
+}

apps/api/src/app.module.ts

@@ -26,6 +26,7 @@ import { TenantGuard } from './tenant/tenant.guard';
 import { TenantModule } from './tenant/tenant.module';
 import { TendersModule } from './tenders/tenders.module';
 import { UserModule } from './user/user.module';
+import { ProxmoxModule } from './proxmox/proxmox.module';
 
 @Module({
   imports: [
@@ -51,6 +52,7 @@ import { UserModule } from './user/user.module';
     FavoritesModule,
     TendersModule,
     BugReportsModule,
+    ProxmoxModule,
   ],
   providers: [
     // Global JWT guard: all routes require auth unless @Public()

apps/api/src/dashboard/dashboard.controller.spec.ts

@@ -0,0 +1,143 @@
+import { readFileSync } from 'node:fs';
+import { join } from 'node:path';
+import { ForbiddenException } from '@nestjs/common';
+import { describe, expect, it, vi } from 'vitest';
+import type { AuthenticatedRequest } from '../auth/types/auth-user';
+import { DashboardController } from './dashboard.controller';
+
+/**
+ * dashboard.controller.spec — NEU (quick-260923-ad9, Task 2). Form aus
+ * `dashboard-images.controller.spec.ts`: die Reiter-Kennung wird aus
+ * Abfrageparameter bzw. Rumpf an den Dienst durchgereicht, fehlender
+ * Benutzer-/Mandantenkontext führt zur vorhandenen Abweisung, und ein
+ * quelltextlesender Wächter prüft, dass die feste Route `tabs/order` VOR
+ * jeder Route mit Platzhalter unter demselben Präfix im Dateitext steht
+ * (NestJS-Routenreihenfolge — in dieser Anwendung hat eine Route mit
+ * Platzhalter schon einmal eine dahinter stehende feste Route verdeckt).
+ */
+
+function makeService() {
+  return {
+    listDashboards: vi.fn(async () => [{ id: 'dash-1' }]),
+    createDashboard: vi.fn(async () => ({ id: 'dash-2' })),
+    reorderDashboards: vi.fn(async () => [{ id: 'dash-1' }, { id: 'dash-2' }]),
+    renameDashboard: vi.fn(async (id: string) => ({ id })),
+    deleteDashboard: vi.fn(async (id: string) => ({ id })),
+    getLayout: vi.fn(async () => ({ lg: [] })),
+    saveLayout: vi.fn(async () => ({ id: 'layout-1' })),
+    getWidgets: vi.fn(async () => []),
+    addWidget: vi.fn(async () => ({ id: 'w1' })),
+    updateWidgetConfig: vi.fn(async () => ({ id: 'w1' })),
+    removeWidget: vi.fn(async () => ({ id: 'w1' })),
+    getSearchProviders: vi.fn(async () => []),
+    addSearchProvider: vi.fn(async () => ({ id: 'sp1' })),
+    removeSearchProvider: vi.fn(async () => ({ id: 'sp1' })),
+  };
+}
+
+function makeRequest(overrides: Partial<AuthenticatedRequest> = {}): AuthenticatedRequest {
+  return {
+    user: { id: 'user-1', tenantId: 'tenant-1', role: 'USER', username: 'anna', mustChangePassword: false },
+    tenantId: 'tenant-1',
+    ...overrides,
+  } as AuthenticatedRequest;
+}
+
+describe('DashboardController — Reiter (quick-260923-ad9, Task 2)', () => {
+  it('listDashboards: reicht userId/tenantId aus dem Sitzungsnachweis durch', async () => {
+    const service = makeService();
+    const controller = new DashboardController(service as never);
+
+    await controller.listDashboards(makeRequest());
+
+    expect(service.listDashboards).toHaveBeenCalledWith('user-1', 'tenant-1');
+  });
+
+  it('createDashboard: reicht userId/tenantId durch, kein Rumpf nötig', async () => {
+    const service = makeService();
+    const controller = new DashboardController(service as never);
+
+    await controller.createDashboard(makeRequest());
+
+    expect(service.createDashboard).toHaveBeenCalledWith('user-1', 'tenant-1');
+  });
+
+  it('reorderDashboards: reicht die Kennungsliste aus dem Rumpf durch', async () => {
+    const service = makeService();
+    const controller = new DashboardController(service as never);
+    const dto = { ids: ['dash-2', 'dash-1'] } as never;
+
+    await controller.reorderDashboards(makeRequest(), dto);
+
+    expect(service.reorderDashboards).toHaveBeenCalledWith('user-1', 'tenant-1', dto);
+  });
+
+  it('renameDashboard: reicht Pfad-Kennung und Rumpf durch', async () => {
+    const service = makeService();
+    const controller = new DashboardController(service as never);
+    const dto = { name: 'Neuer Name' } as never;
+
+    await controller.renameDashboard('dash-1', makeRequest(), dto);
+
+    expect(service.renameDashboard).toHaveBeenCalledWith('dash-1', 'user-1', 'tenant-1', dto);
+  });
+
+  it('deleteDashboard: reicht die Pfad-Kennung durch', async () => {
+    const service = makeService();
+    const controller = new DashboardController(service as never);
+
+    await controller.deleteDashboard('dash-1', makeRequest());
+
+    expect(service.deleteDashboard).toHaveBeenCalledWith('dash-1', 'user-1', 'tenant-1');
+  });
+
+  it('getLayout/getWidgets: reichen die Reiter-Kennung aus dem Abfrageparameter durch', async () => {
+    const service = makeService();
+    const controller = new DashboardController(service as never);
+
+    await controller.getLayout(makeRequest(), 'dash-1');
+    await controller.getWidgets(makeRequest(), 'dash-1');
+
+    expect(service.getLayout).toHaveBeenCalledWith('user-1', 'tenant-1', 'dash-1');
+    expect(service.getWidgets).toHaveBeenCalledWith('user-1', 'tenant-1', 'USER', 'dash-1');
+  });
+
+  it('fehlender Mandantenkontext führt bei den neuen Reiter-Wegen zur vorhandenen Abweisung', async () => {
+    const service = makeService();
+    const controller = new DashboardController(service as never);
+    const req = makeRequest({ user: undefined, tenantId: undefined } as never);
+
+    await expect(controller.listDashboards(req)).rejects.toBeInstanceOf(ForbiddenException);
+    await expect(controller.createDashboard(req)).rejects.toBeInstanceOf(ForbiddenException);
+    await expect(
+      controller.reorderDashboards(req, { ids: [] } as never),
+    ).rejects.toBeInstanceOf(ForbiddenException);
+    await expect(
+      controller.renameDashboard('dash-1', req, { name: 'x' } as never),
+    ).rejects.toBeInstanceOf(ForbiddenException);
+    await expect(controller.deleteDashboard('dash-1', req)).rejects.toBeInstanceOf(
+      ForbiddenException,
+    );
+  });
+
+  it('Wächter: die feste Route "tabs/order" steht im Dateitext VOR jeder Route mit Platzhalter unter demselben Präfix (NestJS-Routenreihenfolge)', () => {
+    const source = readFileSync(join(__dirname, 'dashboard.controller.ts'), 'utf-8');
+
+    const orderIndex = source.indexOf("@Put('tabs/order')");
+    const patchIdIndex = source.indexOf("@Patch('tabs/:id')");
+    const deleteIdIndex = source.indexOf("@Delete('tabs/:id')");
+
+    expect(orderIndex, '@Put(\'tabs/order\') fehlt im Quelltext').toBeGreaterThan(-1);
+    expect(patchIdIndex, '@Patch(\'tabs/:id\') fehlt im Quelltext').toBeGreaterThan(-1);
+    expect(deleteIdIndex, '@Delete(\'tabs/:id\') fehlt im Quelltext').toBeGreaterThan(-1);
+
+    expect(
+      orderIndex,
+      'tabs/order muss VOR PATCH tabs/:id deklariert sein, sonst verdeckt der Platzhalter die feste Route',
+    ).toBeLessThan(patchIdIndex);
+    expect(
+      orderIndex,
+      'tabs/order muss VOR DELETE tabs/:id deklariert sein, sonst verdeckt der Platzhalter die feste Route',
+    ).toBeLessThan(deleteIdIndex);
+  });
+});

apps/api/src/dashboard/dashboard.controller.ts

@@ -8,12 +8,15 @@ import {
   Patch,
   Post,
   Put,
+  Query,
   Req,
 } from '@nestjs/common';
 import type { AuthenticatedRequest } from '../auth/types/auth-user';
 import { DashboardService } from './dashboard.service';
 import { CreateSearchProviderDto } from './dto/create-search-provider.dto';
 import { CreateWidgetDto } from './dto/create-widget.dto';
+import { RenameDashboardDto } from './dto/rename-dashboard.dto';
+import { ReorderDashboardsDto } from './dto/reorder-dashboards.dto';
 import { SaveLayoutDto } from './dto/save-layout.dto';
 import { UpdateWidgetConfigDto } from './dto/update-widget-config.dto';
 
@@ -25,10 +28,17 @@ import { UpdateWidgetConfigDto } from './dto/update-widget-config.dto';
  * and scopes all operations to the calling user (T-05-01, T-05-02).
  *
  * Routes:
- * - GET  /dashboard/layout         — get user's saved layout
- * - PUT  /dashboard/layout         — upsert user's layout
- * - GET  /dashboard/widgets        — list user's widget instances
- * - POST /dashboard/widgets        — create a new widget instance
+ * - GET  /dashboard/tabs           — list the user's dashboard tabs (quick-260923-ad9)
+ * - POST /dashboard/tabs           — create a new, empty tab
+ * - PUT  /dashboard/tabs/order     — persist the tab order (MUST be declared
+ *                                    before the `:id` routes below, see the
+ *                                    source-order guard in dashboard.controller.spec.ts)
+ * - PATCH /dashboard/tabs/:id      — rename a tab
+ * - DELETE /dashboard/tabs/:id     — delete a tab, its widgets and its layout
+ * - GET  /dashboard/layout         — get the saved layout of one tab
+ * - PUT  /dashboard/layout         — upsert the layout of one tab
+ * - GET  /dashboard/widgets        — list the widget instances of one tab
+ * - POST /dashboard/widgets        — create a new widget instance on one tab
  * - PATCH /dashboard/widgets/:id/config — update widget config
  * - DELETE /dashboard/widgets/:id  — remove a widget instance
  * - GET  /dashboard/search-providers     — list default + user's custom providers
@@ -66,10 +76,61 @@ export class DashboardController {
     return { userId: user.id, tenantId, role: user.role };
   }
 
-  @Get('layout')
-  async getLayout(@Req() req: AuthenticatedRequest) {
+  /**
+   * Reiter des Benutzers (quick-260923-ad9), nach Position aufsteigend;
+   * legt beim ersten Aufruf genau einen an.
+   */
+  @Get('tabs')
+  async listDashboards(@Req() req: AuthenticatedRequest) {
     const { userId, tenantId } = this.extractContext(req);
-    return this.dashboardService.getLayout(userId, tenantId);
+    return this.dashboardService.listDashboards(userId, tenantId);
+  }
+
+  @Post('tabs')
+  async createDashboard(@Req() req: AuthenticatedRequest) {
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.createDashboard(userId, tenantId);
+  }
+
+  /**
+   * MUSS vor `PATCH tabs/:id` / `DELETE tabs/:id` stehen — in dieser
+   * Anwendung hat eine Route mit Platzhalter schon einmal eine dahinter
+   * stehende feste Route verdeckt (siehe Projektnotiz „NestJS Route-
+   * Order“); ein quelltextlesender Wächter in
+   * `dashboard.controller.spec.ts` prüft die Reihenfolge im Dateitext.
+   */
+  @Put('tabs/order')
+  async reorderDashboards(
+    @Req() req: AuthenticatedRequest,
+    @Body() dto: ReorderDashboardsDto,
+  ) {
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.reorderDashboards(userId, tenantId, dto);
+  }
+
+  @Patch('tabs/:id')
+  async renameDashboard(
+    @Param('id') id: string,
+    @Req() req: AuthenticatedRequest,
+    @Body() dto: RenameDashboardDto,
+  ) {
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.renameDashboard(id, userId, tenantId, dto);
+  }
+
+  @Delete('tabs/:id')
+  async deleteDashboard(@Param('id') id: string, @Req() req: AuthenticatedRequest) {
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.deleteDashboard(id, userId, tenantId);
+  }
+
+  @Get('layout')
+  async getLayout(
+    @Req() req: AuthenticatedRequest,
+    @Query('dashboardId') dashboardId: string,
+  ) {
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.getLayout(userId, tenantId, dashboardId);
   }
 
   @Put('layout')
@@ -79,9 +140,12 @@ export class DashboardController {
   }
 
   @Get('widgets')
-  async getWidgets(@Req() req: AuthenticatedRequest) {
+  async getWidgets(
+    @Req() req: AuthenticatedRequest,
+    @Query('dashboardId') dashboardId: string,
+  ) {
     const { userId, tenantId, role } = this.extractContext(req);
-    return this.dashboardService.getWidgets(userId, tenantId, role);
+    return this.dashboardService.getWidgets(userId, tenantId, role, dashboardId);
   }
 
   @Post('widgets')

apps/api/src/dashboard/dashboard.service.spec.ts

@@ -30,12 +30,20 @@ vi.mock('./widget-module-map', () => ({
  * ungebundenen Klienten (Aufgabe 1, Befund E/H übernommen aus
  * `module-registry`): die Tabelle trägt heute keinen Zeilenschutz, eine
  * Bindung wäre heute wirkungslos.
+ *
+ * quick-260923-ad9 (Task 1): `withTenantTransaction` kommt zum Mock hinzu
+ * (Muster favorites.service.spec.ts) — sie reicht den gebundenen Klienten
+ * als `tx` durch und protokolliert den Aufruf. `listDashboards` nutzt sie
+ * fürs Anlegen des ersten Reiters unter einer Transaktionssperre.
  */
 vi.mock('../prisma/prisma-tenant.extension', () => ({
   forTenant: vi.fn((prisma: any, tenantId: string) => prisma.__makeBoundClient(tenantId)),
+  withTenantTransaction: vi.fn((prisma: any, tenantId: string, fn: any) =>
+    prisma.__withTenantTransaction(tenantId, fn),
+  ),
 }));
 
-import { ConflictException } from '@nestjs/common';
+import { BadRequestException, ConflictException, NotFoundException } from '@nestjs/common';
 import { Prisma } from '@prisma/client';
 import { forTenant } from '../prisma/prisma-tenant.extension';
 import { DashboardService } from './dashboard.service';
@@ -43,14 +51,42 @@ import { DashboardService } from './dashboard.service';
 /** Modelle, die `__makeBoundClient()` je Aufruf mit einem eigenen, das
  * Herkunfts-Tenant protokollierenden Wrapper versieht. `module` ist bewusst
  * NICHT enthalten — der Katalogzugriff bleibt ungebunden. `searchProvider`
- * ergaenzt seit Aufgabe 3 (260910-krx). */
-const BOUND_MODEL_NAMES = ['dashboardLayout', 'widgetInstance', 'searchProvider'];
+ * ergaenzt seit Aufgabe 3 (260910-krx). `dashboard` ergaenzt seit
+ * quick-260923-ad9 (Task 1). */
+const BOUND_MODEL_NAMES = ['dashboard', 'dashboardLayout', 'widgetInstance', 'searchProvider'];
+
+/** Standard-Reiter-Kennung, die die meisten Tests verwenden — ein Reiter
+ * `dash-1`, der `user-1`/`tenant-1` gehört (Standard-Fixture unten). */
+const DASH_1 = 'dash-1';
+
+function makeDashboard(
+  overrides: Partial<{
+    id: string;
+    userId: string;
+    tenantId: string;
+    name: string;
+    position: number;
+    createdAt: Date;
+    updatedAt: Date;
+  }> = {},
+) {
+  return {
+    id: overrides.id ?? DASH_1,
+    userId: overrides.userId ?? 'user-1',
+    tenantId: overrides.tenantId ?? 'tenant-1',
+    name: overrides.name ?? 'Dashboard',
+    position: overrides.position ?? 0,
+    createdAt: overrides.createdAt ?? new Date('2026-01-01'),
+    updatedAt: overrides.updatedAt ?? new Date('2026-01-01'),
+  };
+}
 
 function makeWidget(
   overrides: Partial<{
     id: string;
     userId: string;
     tenantId: string;
+    dashboardId: string;
     widgetType: string;
     config: Record<string, unknown>;
     createdAt: Date;
@@ -60,6 +96,7 @@ function makeWidget(
     id: overrides.id ?? 'w1',
     userId: overrides.userId ?? 'user-1',
     tenantId: overrides.tenantId ?? 'tenant-1',
+    dashboardId: overrides.dashboardId ?? DASH_1,
     widgetType: overrides.widgetType ?? 'clock',
     config: overrides.config ?? {},
     createdAt: overrides.createdAt ?? new Date('2026-01-01'),
@@ -92,35 +129,100 @@ function makeFakePrisma(
   opts: {
     widgets?: ReturnType<typeof makeWidget>[];
     modules?: { id: string; slug: string }[];
-    layout?: { userId: string; tenantId: string; layouts: unknown } | null;
+    layout?: { dashboardId: string; userId: string; tenantId: string; layouts: unknown } | null;
     searchProviders?: ReturnType<typeof makeSearchProvider>[];
+    dashboards?: ReturnType<typeof makeDashboard>[];
   } = {},
 ) {
   const widgets = opts.widgets ?? [];
   const modules = opts.modules ?? [];
   let layoutRow = opts.layout ?? null;
   const searchProviders = opts.searchProviders ?? [];
+  // Standard-Fixture: GENAU EIN Reiter `dash-1`, der user-1/tenant-1 gehört
+  // — die meisten Tests wollen sich um Reiter-Verwaltung nicht kümmern.
+  // Tests, die eine andere Besitzlage brauchen (fremder Reiter, ADMIN mit
+  // eigenem Reiter, leere Reiterliste), übergeben `dashboards` explizit.
+  const dashboards = opts.dashboards ?? [makeDashboard()];
   const boundCallLog: { tenantId: string; model: string; method: string }[] = [];
 
   const fake: any = {
+    dashboard: {
+      findMany: vi.fn(async ({ where }: any) => {
+        return dashboards
+          .filter((d) => d.userId === where.userId)
+          .slice()
+          .sort((a, b) => a.position - b.position);
+      }),
+      findUnique: vi.fn(async ({ where }: any) => {
+        return dashboards.find((d) => d.id === where.id) ?? null;
+      }),
+      count: vi.fn(async ({ where }: any) => {
+        return dashboards.filter(
+          (d) => d.userId === where.userId && d.tenantId === where.tenantId,
+        ).length;
+      }),
+      create: vi.fn(async ({ data }: any) => {
+        const created = makeDashboard({ id: `new-dash-${dashboards.length + 1}`, ...data });
+        dashboards.push(created);
+        return created;
+      }),
+      update: vi.fn(async ({ where, data }: any) => {
+        const dashboard = dashboards.find((d) => d.id === where.id);
+        if (!dashboard) return null;
+        Object.assign(dashboard, data);
+        return dashboard;
+      }),
+      updateMany: vi.fn(async ({ where, data }: any) => {
+        const matches = dashboards.filter(
+          (d) => d.id === where.id && d.userId === where.userId,
+        );
+        for (const d of matches) Object.assign(d, data);
+        return { count: matches.length };
+      }),
+      deleteMany: vi.fn(async ({ where }: any) => {
+        const before = dashboards.length;
+        for (let i = dashboards.length - 1; i >= 0; i--) {
+          if (dashboards[i].id === where.id && dashboards[i].userId === where.userId) {
+            dashboards.splice(i, 1);
+          }
+        }
+        return { count: before - dashboards.length };
+      }),
+    },
     dashboardLayout: {
       findUnique: vi.fn(async ({ where }: any) => {
-        if (layoutRow && layoutRow.userId === where.userId) return layoutRow;
+        if (layoutRow && layoutRow.dashboardId === where.dashboardId) return layoutRow;
         return null;
       }),
       upsert: vi.fn(async ({ where, update, create }: any) => {
-        if (layoutRow && layoutRow.userId === where.userId) {
+        if (layoutRow && layoutRow.dashboardId === where.dashboardId) {
           layoutRow = { ...layoutRow, layouts: update.layouts };
           return layoutRow;
         }
-        layoutRow = { userId: create.userId, tenantId: create.tenantId, layouts: create.layouts };
+        layoutRow = {
+          dashboardId: create.dashboardId,
+          userId: create.userId,
+          tenantId: create.tenantId,
+          layouts: create.layouts,
+        };
         return layoutRow;
       }),
+      deleteMany: vi.fn(async ({ where }: any) => {
+        if (
+          layoutRow &&
+          layoutRow.dashboardId === where.dashboardId &&
+          layoutRow.userId === where.userId
+        ) {
+          layoutRow = null;
+          return { count: 1 };
+        }
+        return { count: 0 };
+      }),
     },
     widgetInstance: {
       findMany: vi.fn(async ({ where }: any) => {
         return widgets
-          .filter((w) => w.userId === where.userId)
+          .filter((w) => w.dashboardId === where.dashboardId)
           .slice()
           .sort((a, b) => a.createdAt.getTime() - b.createdAt.getTime());
       }),
@@ -138,6 +240,15 @@ function makeFakePrisma(
         Object.assign(widget, data);
         return widget;
       }),
+      deleteMany: vi.fn(async ({ where }: any) => {
+        const before = widgets.length;
+        for (let i = widgets.length - 1; i >= 0; i--) {
+          if (widgets[i].dashboardId === where.dashboardId && widgets[i].userId === where.userId) {
+            widgets.splice(i, 1);
+          }
+        }
+        return { count: before - widgets.length };
+      }),
       delete: vi.fn(async ({ where }: any) => {
         const idx = widgets.findIndex((w) => w.id === where.id);
         if (idx === -1) return null;
@@ -188,8 +299,16 @@ function makeFakePrisma(
         }
         bound[modelName] = wrapped;
       }
+      // quick-260923-ad9: `listDashboards` setzt die Transaktionssperre über
+      // ein rohes `$executeRaw` auf `tx` — Attrappe genügt, das Ergebnis
+      // wird nicht ausgewertet.
+      bound.$executeRaw = vi.fn(async () => undefined);
       return bound;
     },
+    __withTenantTransaction(tenantId: string, fn: (tx: any) => any) {
+      boundCallLog.push({ tenantId, model: '$transaction', method: 'withTenantTransaction' });
+      return fn(fake.__makeBoundClient(tenantId));
+    },
   };
 
   return fake;
@@ -245,7 +364,7 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result).toEqual(widgets);
     expect(moduleAccessService.getAccessibleModuleIds).not.toHaveBeenCalled();
@@ -261,7 +380,7 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const moduleAccessService = makeFakeModuleAccessService(new Set(['mod-1']));
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result).toEqual([widget]);
   });
@@ -276,7 +395,7 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result).toEqual([]);
   });
@@ -287,12 +406,13 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const prisma = makeFakePrisma({
       widgets: [widget],
       modules: [{ id: 'mod-1', slug: 'tender-radar' }],
+      dashboards: [makeDashboard({ userId: 'admin-1' })],
     });
     // Simuliert den D-03-Kurzschluss der Zugriffsauflösung aus 15-01: ADMIN erhält alle aktiven Module.
     const moduleAccessService = makeFakeModuleAccessService(new Set(['mod-1']));
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('admin-1', 'tenant-1', 'ADMIN' as any);
+    const result = await service.getWidgets('admin-1', 'tenant-1', 'ADMIN' as any, DASH_1);
 
     expect(result).toEqual([widget]);
     expect(moduleAccessService.getAccessibleModuleIds).toHaveBeenCalledWith(
@@ -313,7 +433,7 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const moduleAccessService = makeFakeModuleAccessService(new Set()); // kein Zugriff auf tender-radar
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result).toEqual([platformWidget]);
   });
@@ -334,7 +454,7 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const moduleAccessService = makeFakeModuleAccessService(new Set(['mod-1']));
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result.map((w: any) => w.id)).toEqual(['w1', 'w2', 'w3']);
   });
@@ -349,8 +469,8 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
-    await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
+    await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(prisma.widgetInstance.delete).not.toHaveBeenCalled();
     expect(prisma.widgetInstance.findMany).toHaveBeenCalledTimes(2);
@@ -363,7 +483,7 @@ describe('DashboardService.getWidgets — Modulfilter (D-22, PERM-07)', () => {
     const moduleAccessService = makeFakeModuleAccessService(new Set(['irgendeine-id']));
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result).toEqual([]);
   });
@@ -379,15 +499,16 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
 
   it('getLayout: der Lesezugriff läuft über den gebundenen Klienten, mit der übergebenen Mandantenkennung im Protokoll', async () => {
     const prisma = makeFakePrisma({
-      layout: { userId: 'user-1', tenantId: 'tenant-1', layouts: { lg: [{ i: 'w1' }] } },
+      layout: { dashboardId: DASH_1, userId: 'user-1', tenantId: 'tenant-1', layouts: { lg: [{ i: 'w1' }] } },
     });
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getLayout('user-1', 'tenant-1');
+    const result = await service.getLayout('user-1', 'tenant-1', DASH_1);
 
     expect(result).toEqual({ lg: [{ i: 'w1' }] });
     expectBoundCall(prisma, 'tenant-1', 'dashboardLayout', 'findUnique');
+    expectBoundCall(prisma, 'tenant-1', 'dashboard', 'findUnique');
     // Benutzerdimension (260911-nke): forTenant() bekommt userId als drittes Argument.
     expect(forTenant).toHaveBeenCalledWith(prisma, 'tenant-1', 'user-1');
   });
@@ -397,7 +518,7 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getLayout('user-1', 'tenant-1');
+    const result = await service.getLayout('user-1', 'tenant-1', DASH_1);
 
     expect(result).toEqual({ lg: [], md: [], sm: [], xs: [], xxs: [] });
   });
@@ -407,17 +528,18 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    await service.saveLayout('user-1', 'tenant-1', { layouts: { lg: [] } } as any);
+    await service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: { lg: [] } } as any);
 
     expectBoundCall(prisma, 'tenant-1', 'dashboardLayout', 'upsert');
+    expectBoundCall(prisma, 'tenant-1', 'dashboard', 'findUnique');
   });
 
   /**
-   * Gegenrichtung der Bindung (w4, 260910-krx). `DashboardLayout.userId` ist
-   * plattformweit eindeutig, ohne Mandantenanteil. Ist die vorhandene Zeile
-   * unter dem gebundenen Kontext unsichtbar, laeuft das `upsert` in einen
-   * Konflikt — und der aeussert sich hier NICHT als der bekannte P2002-Fehler
-   * (`PrismaClientKnownRequestError`), sondern als
+   * Gegenrichtung der Bindung (w4, 260910-krx). `DashboardLayout.dashboardId`
+   * (bis quick-260923-ad9: `userId`) ist die eindeutige Spalte. Ist die
+   * vorhandene Zeile unter dem gebundenen Kontext unsichtbar, laeuft das
+   * `upsert` in einen Konflikt — und der aeussert sich hier NICHT als der
+   * bekannte P2002-Fehler (`PrismaClientKnownRequestError`), sondern als
    * `PrismaClientUnknownRequestError`, weil die Zeilenschutz-Regel den
    * Schreibzugriff mit SQLSTATE 42501 abweist, bevor die Eindeutigkeit
    * ueberhaupt geprueft wird. Gemessen in `rls-scratch-check.mjs`
@@ -440,7 +562,7 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
       const service = new DashboardService(prisma as any, moduleAccessService as any);
 
       await expect(
-        service.saveLayout('user-1', 'tenant-1', { layouts: { lg: [] } } as any),
+        service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: { lg: [] } } as any),
       ).rejects.toBeInstanceOf(ConflictException);
     });
 
@@ -457,20 +579,20 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
       const service = new DashboardService(prisma as any, moduleAccessService as any);
 
       await expect(
-        service.saveLayout('user-1', 'tenant-1', { layouts: { lg: [] } } as any),
+        service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: { lg: [] } } as any),
       ).rejects.toBe(known);
     });
   });
 
   it('Anordnung lesen und speichern sind GEMEINSAM gebunden: beide laufen über denselben gebundenen Klienten und dieselbe Mandantenkennung', async () => {
     const prisma = makeFakePrisma({
-      layout: { userId: 'user-1', tenantId: 'tenant-1', layouts: {} },
+      layout: { dashboardId: DASH_1, userId: 'user-1', tenantId: 'tenant-1', layouts: {} },
     });
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    await service.getLayout('user-1', 'tenant-1');
-    await service.saveLayout('user-1', 'tenant-1', { layouts: { lg: [] } } as any);
+    await service.getLayout('user-1', 'tenant-1', DASH_1);
+    await service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: { lg: [] } } as any);
 
     expectBoundCall(prisma, 'tenant-1', 'dashboardLayout', 'findUnique');
     expectBoundCall(prisma, 'tenant-1', 'dashboardLayout', 'upsert');
@@ -481,7 +603,7 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result).toEqual([]);
     expectBoundCall(prisma, 'tenant-1', 'widgetInstance', 'findMany');
@@ -493,9 +615,10 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    await service.addWidget('user-1', 'tenant-1', { widgetType: 'clock' } as any);
+    await service.addWidget('user-1', 'tenant-1', { widgetType: 'clock', dashboardId: DASH_1 } as any);
 
     expectBoundCall(prisma, 'tenant-1', 'widgetInstance', 'create');
+    expectBoundCall(prisma, 'tenant-1', 'dashboard', 'findUnique');
   });
 
   it('Widget-Konfiguration ändern: BEIDE Abfragen (Besitzprüfung und Änderung) laufen über DENSELBEN gebundenen Klienten und dieselbe Mandantenkennung', async () => {
@@ -548,16 +671,16 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
     const widget = makeWidget({ id: 'w1', userId: 'user-1' });
     const prisma = makeFakePrisma({
       widgets: [widget],
-      layout: { userId: 'user-1', tenantId: 'tenant-1', layouts: {} },
+      layout: { dashboardId: DASH_1, userId: 'user-1', tenantId: 'tenant-1', layouts: {} },
     });
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
     for (const call of [
-      () => service.getLayout('user-1', 'tenant-1'),
-      () => service.saveLayout('user-1', 'tenant-1', { layouts: {} } as any),
-      () => service.getWidgets('user-1', 'tenant-1', 'USER' as any),
-      () => service.addWidget('user-1', 'tenant-1', { widgetType: 'clock' } as any),
+      () => service.getLayout('user-1', 'tenant-1', DASH_1),
+      () => service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: {} } as any),
+      () => service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1),
+      () => service.addWidget('user-1', 'tenant-1', { widgetType: 'clock', dashboardId: DASH_1 } as any),
       () => service.updateWidgetConfig('w1', 'user-1', 'tenant-1', { config: {} } as any),
       () => service.removeWidget('w1', 'user-1', 'tenant-1'),
     ]) {
@@ -575,7 +698,7 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
     const moduleAccessService = makeFakeModuleAccessService(new Set());
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
-    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     expect(result).toEqual([]);
   });
@@ -593,9 +716,9 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
     const service = new DashboardService(prisma as any, moduleAccessService as any);
 
     const stored = { lg: [{ i: 'w1', x: 0, y: 0, w: 4, h: 4 }], __gridVersion: 2 };
-    await service.saveLayout('user-1', 'tenant-1', { layouts: stored } as any);
+    await service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: stored } as any);
 
-    const result = await service.getLayout('user-1', 'tenant-1');
+    const result = await service.getLayout('user-1', 'tenant-1', DASH_1);
 
     expect(result).toEqual(stored);
     expect((result as Record<string, unknown>).__gridVersion).toBe(2);
@@ -623,6 +746,178 @@ describe('DashboardService — Anordnung und Widgets gebunden an forTenant() (26
   });
 });
 
+// --- Reiter (quick-260923-ad9, Task 1) --------------------------------------
+
+describe('DashboardService.listDashboards — Reiter anlegen/lesen (quick-260923-ad9, Task 1)', () => {
+  beforeEach(() => {
+    vi.mocked(forTenant).mockClear();
+  });
+
+  it('erster Aufruf ohne vorhandenen Reiter legt genau einen mit Position 0 und Namen "Dashboard" an und liefert ihn', async () => {
+    const prisma = makeFakePrisma({ dashboards: [] });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    const result = await service.listDashboards('user-1', 'tenant-1');
+
+    expect(result).toHaveLength(1);
+    expect(result[0]).toMatchObject({ name: 'Dashboard', position: 0, userId: 'user-1' });
+    expect(prisma.dashboard.create).toHaveBeenCalledTimes(1);
+  });
+
+  it('zweiter Aufruf legt keinen weiteren Reiter an', async () => {
+    const prisma = makeFakePrisma({ dashboards: [] });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await service.listDashboards('user-1', 'tenant-1');
+    const second = await service.listDashboards('user-1', 'tenant-1');
+
+    expect(second).toHaveLength(1);
+    expect(prisma.dashboard.create).toHaveBeenCalledTimes(1);
+  });
+
+  it('das Anlegen läuft als EINE withTenantTransaction (Sperre + erneute Zählung), nicht als Einzelbefehl (T-AD9-07)', async () => {
+    const prisma = makeFakePrisma({ dashboards: [] });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await service.listDashboards('user-1', 'tenant-1');
+
+    const found = prisma.__boundCallLog.some(
+      (c: any) => c.tenantId === 'tenant-1' && c.model === '$transaction' && c.method === 'withTenantTransaction',
+    );
+    expect(found, 'erwartete withTenantTransaction fehlt im Protokoll').toBe(true);
+  });
+
+  it('die Liste kommt nach Position aufsteigend, unabhängig von der Einfügereihenfolge', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd2', position: 1 }),
+        makeDashboard({ id: 'd1', position: 0 }),
+      ],
+    });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    const result = await service.listDashboards('user-1', 'tenant-1');
+
+    expect(result.map((d: any) => d.id)).toEqual(['d1', 'd2']);
+  });
+
+  it('der Lesezugriff läuft über den gebundenen Klienten mit der richtigen Mandantenkennung', async () => {
+    const prisma = makeFakePrisma({ dashboards: [makeDashboard({ id: 'd1' })] });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await service.listDashboards('user-1', 'tenant-1');
+
+    expectBoundCall(prisma, 'tenant-1', 'dashboard', 'findMany');
+  });
+});
+
+describe('DashboardService — Riegel gegen fremde Reiter (quick-260923-ad9, Task 1, T-AD9-01/02)', () => {
+  beforeEach(() => {
+    vi.mocked(forTenant).mockClear();
+  });
+
+  it('getLayout: fremde Reiter-Kennung führt zur Nicht-gefunden-Antwort', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [makeDashboard({ id: DASH_1, userId: 'other-user' })],
+    });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await expect(service.getLayout('user-1', 'tenant-1', DASH_1)).rejects.toBeInstanceOf(
+      NotFoundException,
+    );
+  });
+
+  it('saveLayout: fremde Reiter-Kennung führt zur Nicht-gefunden-Antwort, ohne zu schreiben', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [makeDashboard({ id: DASH_1, userId: 'other-user' })],
+    });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await expect(
+      service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: {} } as any),
+    ).rejects.toBeInstanceOf(NotFoundException);
+    expect(prisma.dashboardLayout.upsert).not.toHaveBeenCalled();
+  });
+
+  it('getWidgets: fremde Reiter-Kennung führt zur Nicht-gefunden-Antwort', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [makeDashboard({ id: DASH_1, userId: 'other-user' })],
+    });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await expect(
+      service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1),
+    ).rejects.toBeInstanceOf(NotFoundException);
+  });
+
+  it('addWidget: fremde Reiter-Kennung führt zur Nicht-gefunden-Antwort, ohne zu schreiben', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [makeDashboard({ id: DASH_1, userId: 'other-user' })],
+    });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await expect(
+      service.addWidget('user-1', 'tenant-1', { widgetType: 'clock', dashboardId: DASH_1 } as any),
+    ).rejects.toBeInstanceOf(NotFoundException);
+    expect(prisma.widgetInstance.create).not.toHaveBeenCalled();
+  });
+
+  it('unbekannte Reiter-Kennung (existiert nicht) führt ebenso zur Nicht-gefunden-Antwort — dieselbe Antwort wie "gehört einem Kollegen"', async () => {
+    const prisma = makeFakePrisma({ dashboards: [] });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await expect(service.getLayout('user-1', 'tenant-1', 'unknown-dash')).rejects.toThrow(
+      "Dashboard with id 'unknown-dash' not found",
+    );
+  });
+});
+
+describe('DashboardService — Kacheln und Anordnung sind je Reiter getrennt (quick-260923-ad9, Task 1)', () => {
+  beforeEach(() => {
+    vi.mocked(forTenant).mockClear();
+  });
+
+  it('getWidgets liest über die Reiter-Kennung, nicht über die Benutzerkennung — zwei Reiter desselben Benutzers teilen keine Kacheln', async () => {
+    const widgetOnDash1 = makeWidget({ id: 'w1', dashboardId: 'dash-1' });
+    const widgetOnDash2 = makeWidget({ id: 'w2', dashboardId: 'dash-2' });
+    const prisma = makeFakePrisma({
+      widgets: [widgetOnDash1, widgetOnDash2],
+      dashboards: [makeDashboard({ id: 'dash-1' }), makeDashboard({ id: 'dash-2' })],
+    });
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    const result = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, 'dash-2');
+
+    expect(result.map((w: any) => w.id)).toEqual(['w2']);
+  });
+
+  it('saveLayout schreibt die Anordnung unter der Reiter-Kennung (create-Zweig)', async () => {
+    const prisma = makeFakePrisma({});
+    const moduleAccessService = makeFakeModuleAccessService(new Set());
+    const service = new DashboardService(prisma as any, moduleAccessService as any);
+
+    await service.saveLayout('user-1', 'tenant-1', { dashboardId: DASH_1, layouts: { lg: [] } } as any);
+
+    expect(prisma.dashboardLayout.upsert).toHaveBeenCalledWith(
+      expect.objectContaining({
+        where: { dashboardId: DASH_1 },
+        create: expect.objectContaining({ dashboardId: DASH_1 }),
+      }),
+    );
+  });
+});
+
 // --- Bindung an forTenant() (260910-krx, Aufgabe 3: Suchmaschinen) ---------
 
 describe('DashboardService — Suchmaschinen gebunden an forTenant(), Katalog bewusst ungebunden (260910-krx, Aufgabe 3)', () => {
@@ -710,7 +1005,7 @@ describe('DashboardService — Suchmaschinen gebunden an forTenant(), Katalog be
       name: 'Intranet',
       urlTemplate: 'https://intranet.test/?q={query}',
     } as any);
-    await service.getWidgets('user-1', 'tenant-1', 'USER' as any);
+    await service.getWidgets('user-1', 'tenant-1', 'USER' as any, DASH_1);
 
     // Beweist, dass der Katalogzugriff tatsaechlich lief (sonst waere die
     // Wachhund-Pruefung unten wirkungslos, weil sie nichts protokollieren
@@ -743,3 +1038,272 @@ describe('DashboardService — Suchmaschinen gebunden an forTenant(), Katalog be
     }
   });
 });
+
+// --- Reiter anlegen/umbenennen/löschen/umsortieren (quick-260923-ad9, Task 2) ---
+
+describe('DashboardService.createDashboard — Reiter anlegen (quick-260923-ad9, Task 2, D-08)', () => {
+  beforeEach(() => {
+    vi.mocked(forTenant).mockClear();
+  });
+
+  it('erzeugt "Dashboard 2", wenn nur "Dashboard" existiert', async () => {
+    const prisma = makeFakePrisma({ dashboards: [makeDashboard({ id: 'd1', name: 'Dashboard', position: 0 })] });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    const result = await service.createDashboard('user-1', 'tenant-1');
+
+    expect(result.name).toBe('Dashboard 2');
+  });
+
+  it('erzeugt "Dashboard 3", wenn "Dashboard" und "Dashboard 2" existieren', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', name: 'Dashboard', position: 0 }),
+        makeDashboard({ id: 'd2', name: 'Dashboard 2', position: 1 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    const result = await service.createDashboard('user-1', 'tenant-1');
+
+    expect(result.name).toBe('Dashboard 3');
+  });
+
+  it('füllt eine Lücke: "Dashboard" und "Dashboard 3" existieren -> "Dashboard 2"', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', name: 'Dashboard', position: 0 }),
+        makeDashboard({ id: 'd3', name: 'Dashboard 3', position: 1 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    const result = await service.createDashboard('user-1', 'tenant-1');
+
+    expect(result.name).toBe('Dashboard 2');
+  });
+
+  it('hängt ans Ende — Position ist die höchste vorhandene plus eins', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', name: 'Dashboard', position: 0 }),
+        makeDashboard({ id: 'd2', name: 'Dashboard 2', position: 5 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    const result = await service.createDashboard('user-1', 'tenant-1');
+
+    expect(result.position).toBe(6);
+  });
+
+  it('liefert den neuen Reiter mit leerer Kachelliste', async () => {
+    const prisma = makeFakePrisma({ dashboards: [makeDashboard({ id: 'd1' })] });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    const created = await service.createDashboard('user-1', 'tenant-1');
+    const widgets = await service.getWidgets('user-1', 'tenant-1', 'USER' as any, created.id);
+
+    expect(widgets).toEqual([]);
+  });
+
+  it('wird ab 20 vorhandenen Reitern abgewiesen, ohne eine Zeile zu schreiben', async () => {
+    const dashboards = Array.from({ length: 20 }, (_, i) =>
+      makeDashboard({ id: `d${i}`, name: i === 0 ? 'Dashboard' : `Dashboard ${i + 1}`, position: i }),
+    );
+    const prisma = makeFakePrisma({ dashboards });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await expect(service.createDashboard('user-1', 'tenant-1')).rejects.toThrow();
+    expect(prisma.dashboard.create).not.toHaveBeenCalled();
+  });
+});
+
+describe('DashboardService.renameDashboard — Reiter umbenennen (quick-260923-ad9, Task 2)', () => {
+  beforeEach(() => {
+    vi.mocked(forTenant).mockClear();
+  });
+
+  it('benennt den eigenen Reiter um', async () => {
+    const prisma = makeFakePrisma({ dashboards: [makeDashboard({ id: DASH_1 })] });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    const result = await service.renameDashboard(DASH_1, 'user-1', 'tenant-1', { name: 'Finanzen' } as any);
+
+    expect(result.name).toBe('Finanzen');
+  });
+
+  it('ein fremder Reiter führt zur Nicht-gefunden-Antwort', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [makeDashboard({ id: DASH_1, userId: 'other-user' })],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await expect(
+      service.renameDashboard(DASH_1, 'user-1', 'tenant-1', { name: 'x' } as any),
+    ).rejects.toBeInstanceOf(NotFoundException);
+  });
+});
+
+describe('RenameDashboardDto — Beschneiden und Längenprüfung (quick-260923-ad9, Task 2)', () => {
+  it('beschneidet führende/nachgestellte Leerräume vor der Längenprüfung', async () => {
+    const { plainToInstance } = await import('class-transformer');
+    const { validate } = await import('class-validator');
+    const { RenameDashboardDto } = await import('./dto/rename-dashboard.dto');
+
+    const dto = plainToInstance(RenameDashboardDto, { name: '  Finanzen  ' });
+    expect(dto.name).toBe('Finanzen');
+    expect(await validate(dto)).toEqual([]);
+  });
+
+  it('ein leerer Name (nach dem Beschneiden) wird abgewiesen', async () => {
+    const { plainToInstance } = await import('class-transformer');
+    const { validate } = await import('class-validator');
+    const { RenameDashboardDto } = await import('./dto/rename-dashboard.dto');
+
+    const dto = plainToInstance(RenameDashboardDto, { name: '    ' });
+    const errors = await validate(dto);
+
+    expect(errors.length).toBeGreaterThan(0);
+    expect(errors[0].property).toBe('name');
+  });
+
+  it('ein Name über 40 Zeichen wird abgewiesen', async () => {
+    const { plainToInstance } = await import('class-transformer');
+    const { validate } = await import('class-validator');
+    const { RenameDashboardDto } = await import('./dto/rename-dashboard.dto');
+
+    const dto = plainToInstance(RenameDashboardDto, { name: 'x'.repeat(41) });
+    const errors = await validate(dto);
+
+    expect(errors.length).toBeGreaterThan(0);
+    expect(errors[0].property).toBe('name');
+  });
+});
+
+describe('DashboardService.deleteDashboard — Reiter löschen (quick-260923-ad9, Task 2, D-10)', () => {
+  beforeEach(() => {
+    vi.mocked(forTenant).mockClear();
+  });
+
+  it('entfernt Reiter, seine Kacheln und seine Anordnung in EINER Transaktion und schreibt die verbleibenden Positionen lückenlos neu', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', position: 0 }),
+        makeDashboard({ id: 'd2', position: 1 }),
+        makeDashboard({ id: 'd3', position: 2 }),
+      ],
+      widgets: [makeWidget({ id: 'w1', dashboardId: 'd2' })],
+      layout: { dashboardId: 'd2', userId: 'user-1', tenantId: 'tenant-1', layouts: {} },
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await service.deleteDashboard('d2', 'user-1', 'tenant-1');
+
+    const remaining = await service.listDashboards('user-1', 'tenant-1');
+    expect(remaining.map((d: any) => d.id)).toEqual(['d1', 'd3']);
+    expect(remaining.map((d: any) => d.position)).toEqual([0, 1]);
+    expect(prisma.widgetInstance.deleteMany).toHaveBeenCalledWith(
+      expect.objectContaining({ where: { dashboardId: 'd2', userId: 'user-1' } }),
+    );
+    expect(prisma.dashboardLayout.deleteMany).toHaveBeenCalledWith(
+      expect.objectContaining({ where: { dashboardId: 'd2', userId: 'user-1' } }),
+    );
+  });
+
+  it('der letzte verbleibende Reiter kann nicht gelöscht werden — nichts wird geschrieben', async () => {
+    const prisma = makeFakePrisma({ dashboards: [makeDashboard({ id: 'd1' })] });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await expect(service.deleteDashboard('d1', 'user-1', 'tenant-1')).rejects.toBeInstanceOf(
+      ConflictException,
+    );
+    expect(prisma.dashboard.deleteMany).not.toHaveBeenCalled();
+  });
+
+  it('ein fremder Reiter führt zur Nicht-gefunden-Antwort', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', userId: 'other-user' }),
+        makeDashboard({ id: 'd2', userId: 'other-user', position: 1 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await expect(service.deleteDashboard('d1', 'user-1', 'tenant-1')).rejects.toBeInstanceOf(
+      NotFoundException,
+    );
+  });
+});
+
+describe('DashboardService.reorderDashboards — Reiter umsortieren (quick-260923-ad9, Task 2, T-AD9-04)', () => {
+  beforeEach(() => {
+    vi.mocked(forTenant).mockClear();
+  });
+
+  it('schreibt die Positionen 0…n-1 in der gesendeten Reihenfolge', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', position: 0 }),
+        makeDashboard({ id: 'd2', position: 1 }),
+        makeDashboard({ id: 'd3', position: 2 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    const result = await service.reorderDashboards('user-1', 'tenant-1', {
+      ids: ['d3', 'd1', 'd2'],
+    } as any);
+
+    expect(result.map((d: any) => d.id)).toEqual(['d3', 'd1', 'd2']);
+    expect(result.map((d: any) => d.position)).toEqual([0, 1, 2]);
+  });
+
+  it('eine unvollständige Liste wird abgewiesen, ohne eine einzige Position zu ändern', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', position: 0 }),
+        makeDashboard({ id: 'd2', position: 1 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await expect(
+      service.reorderDashboards('user-1', 'tenant-1', { ids: ['d1'] } as any),
+    ).rejects.toBeInstanceOf(BadRequestException);
+    const unchanged = await service.listDashboards('user-1', 'tenant-1');
+    expect(unchanged.map((d: any) => d.position)).toEqual([0, 1]);
+  });
+
+  it('eine unbekannte Kennung wird abgewiesen, ohne eine einzige Position zu ändern', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', position: 0 }),
+        makeDashboard({ id: 'd2', position: 1 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await expect(
+      service.reorderDashboards('user-1', 'tenant-1', { ids: ['d1', 'unknown'] } as any),
+    ).rejects.toBeInstanceOf(BadRequestException);
+    const unchanged = await service.listDashboards('user-1', 'tenant-1');
+    expect(unchanged.map((d: any) => d.position)).toEqual([0, 1]);
+  });
+
+  it('die Kennung eines fremden Reiters wird abgewiesen, ohne eine einzige Position zu ändern', async () => {
+    const prisma = makeFakePrisma({
+      dashboards: [
+        makeDashboard({ id: 'd1', position: 0 }),
+        makeDashboard({ id: 'foreign', userId: 'other-user', position: 0 }),
+      ],
+    });
+    const service = new DashboardService(prisma as any, makeFakeModuleAccessService(new Set()) as any);
+
+    await expect(
+      service.reorderDashboards('user-1', 'tenant-1', { ids: ['d1', 'foreign'] } as any),
+    ).rejects.toBeInstanceOf(BadRequestException);
+    const unchanged = await service.listDashboards('user-1', 'tenant-1');
+    expect(unchanged.map((d: any) => d.position)).toEqual([0]);
+  });
+});

apps/api/src/dashboard/dashboard.service.ts

@@ -1,18 +1,27 @@
 import {
+  BadRequestException,
   ConflictException,
   Injectable,
   NotFoundException,
 } from '@nestjs/common';
 import { Prisma, Role } from '@prisma/client';
 import { ModuleAccessService } from '../module-registry/module-access.service';
-import { forTenant } from '../prisma/prisma-tenant.extension';
+import { forTenant, withTenantTransaction } from '../prisma/prisma-tenant.extension';
 import { PrismaService } from '../prisma/prisma.service';
 import { CreateSearchProviderDto } from './dto/create-search-provider.dto';
 import { CreateWidgetDto } from './dto/create-widget.dto';
+import { RenameDashboardDto } from './dto/rename-dashboard.dto';
+import { ReorderDashboardsDto } from './dto/reorder-dashboards.dto';
 import { SaveLayoutDto } from './dto/save-layout.dto';
 import { UpdateWidgetConfigDto } from './dto/update-widget-config.dto';
 import { getModuleSlugForWidgetType } from './widget-module-map';
 
+/**
+ * T-AD9-06 — Riegel gegen Massenanfragen: hoechstens 20 Reiter je Benutzer
+ * (quick-260923-ad9, Task 2).
+ */
+const DASHBOARD_MAX_COUNT = 20;
+
 /**
  * Default search providers (D-15).
  * Returned as part of getSearchProviders even when no DB rows exist.
@@ -88,13 +97,233 @@ export class DashboardService {
   ) {}
 
   /**
-   * Returns the user's saved layout, or a default empty layout
-   * with all breakpoint arrays initialized.
+   * Reiter (quick-260923-ad9, D-01/D-08/D-09): liest die Dashboards des
+   * Benutzers, nach `position` aufsteigend — Position 0 ist der Standard
+   * und wird beim Öffnen geladen. Ist die Liste leer (erster Aufruf des
+   * Benutzers ueberhaupt), wird genau EIN Reiter „Dashboard“ angelegt.
+   *
+   * Das Anlegen laeuft in einer `withTenantTransaction`, deren ERSTE
+   * Anweisung eine Transaktionssperre auf die Benutzerkennung nimmt
+   * (`pg_advisory_xact_lock`, `hashtext` ueber die Benutzerkennung als
+   * ersten Schluessel, 0 als zweiten — beides eingebaute Postgres-
+   * Funktionen). Zwei gleichzeitige erste Aufrufe desselben Benutzers
+   * warten dadurch aufeinander statt beide "kein Reiter vorhanden" zu
+   * sehen; die erneute Zaehlung INNERHALB der Sperre verhindert die
+   * doppelte Anlage (T-AD9-07). `withTenantTransaction` setzt keine
+   * Benutzerdimension in der Sitzung — die Bedingung traegt `userId` UND
+   * `tenantId` deshalb selbst, als zweites Netz.
    */
-  async getLayout(userId: string, tenantId: string) {
+  async listDashboards(userId: string, tenantId: string) {
     const tenantPrisma = forTenant(this.prisma, tenantId, userId);
-    const record = await tenantPrisma.dashboardLayout.findUnique({
+    let dashboards = await tenantPrisma.dashboard.findMany({
       where: { userId },
+      orderBy: { position: 'asc' },
+    });
+
+    if (dashboards.length === 0) {
+      await withTenantTransaction(this.prisma, tenantId, async (tx) => {
+        await tx.$executeRaw`SELECT pg_advisory_xact_lock(hashtext(${userId}), 0)`;
+        const existing = await tx.dashboard.count({
+          where: { userId, tenantId },
+        });
+        if (existing === 0) {
+          await tx.dashboard.create({
+            data: { userId, tenantId, name: 'Dashboard', position: 0 },
+          });
+        }
+      });
+
+      dashboards = await tenantPrisma.dashboard.findMany({
+        where: { userId },
+        orderBy: { position: 'asc' },
+      });
+    }
+
+    return dashboards;
+  }
+
+  /**
+   * Riegel gegen fremde Reiter (T-AD9-01/02/03, Muster `FavoritesService.
+   * create`/T-GWH-05): liest den Reiter ueber den BEREITS gebundenen
+   * Klienten des Aufrufers (kein zweiter `forTenant()`-Aufruf) und wirft
+   * fuer drei ununterscheidbare Faelle dieselbe `NotFoundException` — "gibt
+   * es nicht", "gehoert einem Kollegen" und "liegt bei einem fremden
+   * Mandanten" (die Mandantengrenze zieht bereits der gebundene Klient).
+   * Niemals eine abweichende Antwort, aus der sich die Existenz eines
+   * fremden Reiters ablesen liesse.
+   */
+  private async assertOwnedDashboard(
+    tenantPrisma: ReturnType<typeof forTenant>,
+    dashboardId: string,
+    userId: string,
+  ): Promise<void> {
+    const dashboard = await tenantPrisma.dashboard.findUnique({
+      where: { id: dashboardId },
+    });
+
+    if (!dashboard || dashboard.userId !== userId) {
+      throw new NotFoundException(`Dashboard with id '${dashboardId}' not found`);
+    }
+  }
+
+  /**
+   * Legt einen neuen, leeren Reiter an (quick-260923-ad9, Task 2, D-08).
+   * Name automatisch: "Dashboard 2", "Dashboard 3", … — die kleinste noch
+   * freie Zahl ab 2 (füllt eine Lücke, wenn z. B. "Dashboard 2" gelöscht
+   * wurde). Dieser Name ist ein gespeicherter Datenwert, keine
+   * Oberflächenbeschriftung — deshalb ein TypeScript-Text hier statt eines
+   * Übersetzungsschlüssels, genau wie der Name "Dashboard", den die
+   * Migration/`listDashboards` vergeben. Hängt ans Ende (höchste
+   * vorhandene Position plus eins) und liefert den neuen Reiter mit
+   * leerer Kachelliste (es existiert noch keine `WidgetInstance`-Zeile
+   * dafür).
+   */
+  async createDashboard(userId: string, tenantId: string) {
+    const tenantPrisma = forTenant(this.prisma, tenantId, userId);
+    const existing = await tenantPrisma.dashboard.findMany({ where: { userId } });
+
+    if (existing.length >= DASHBOARD_MAX_COUNT) {
+      throw new BadRequestException(
+        `Es sind bereits ${DASHBOARD_MAX_COUNT} Dashboards vorhanden — mehr sind nicht möglich.`,
+      );
+    }
+
+    const existingNames = new Set(existing.map((d) => d.name));
+    let n = 2;
+    while (existingNames.has(`Dashboard ${n}`)) n++;
+
+    const nextPosition = existing.reduce((max, d) => Math.max(max, d.position), -1) + 1;
+
+    return tenantPrisma.dashboard.create({
+      data: { userId, tenantId, name: `Dashboard ${n}`, position: nextPosition },
+    });
+  }
+
+  /**
+   * Benennt einen Reiter um (quick-260923-ad9, Task 2). `assertOwnedDashboard`
+   * läuft zuerst, über denselben gebundenen Klienten — eine fremde Kennung
+   * liefert die Nicht-gefunden-Antwort (T-AD9-03). Beschneiden und
+   * Längenprüfung (1–40 Zeichen) liegen bereits im DTO.
+   */
+  async renameDashboard(
+    id: string,
+    userId: string,
+    tenantId: string,
+    dto: RenameDashboardDto,
+  ) {
+    const tenantPrisma = forTenant(this.prisma, tenantId, userId);
+    await this.assertOwnedDashboard(tenantPrisma, id, userId);
+
+    return tenantPrisma.dashboard.update({
+      where: { id },
+      data: { name: dto.name },
+    });
+  }
+
+  /**
+   * Löscht einen Reiter mit seinen Kacheln und seiner Anordnung
+   * (quick-260923-ad9, Task 2). `assertOwnedDashboard` läuft zuerst; danach
+   * wird geprüft, ob es der letzte verbleibende Reiter ist (D-10) — der
+   * Server weist das ab, die Oberfläche bietet den Knopf dafür gar nicht
+   * erst an. Löschen, Anordnung-/Kachel-Entfernen und das lückenlose
+   * Neuschreiben der verbleibenden Positionen laufen als EINE
+   * `withTenantTransaction` (mehrschrittig, muss atomar sein — dieselbe
+   * Begründung wie `FavoritesService.reorder`). Die Löschweitergabe in der
+   * Datenbank (`onDelete: Cascade`) bleibt als zweites Netz bestehen; der
+   * geschriebene Weg unten ist der gebundene. `withTenantTransaction`
+   * setzt keine Benutzerdimension in der Sitzung — jede Bedingung trägt
+   * `userId` deshalb selbst.
+   */
+  async deleteDashboard(id: string, userId: string, tenantId: string) {
+    const tenantPrisma = forTenant(this.prisma, tenantId, userId);
+    await this.assertOwnedDashboard(tenantPrisma, id, userId);
+
+    const count = await tenantPrisma.dashboard.count({ where: { userId, tenantId } });
+    if (count <= 1) {
+      throw new ConflictException('Der letzte verbleibende Reiter kann nicht gelöscht werden.');
+    }
+
+    return withTenantTransaction(this.prisma, tenantId, async (tx) => {
+      await tx.widgetInstance.deleteMany({ where: { dashboardId: id, userId } });
+      await tx.dashboardLayout.deleteMany({ where: { dashboardId: id, userId } });
+      await tx.dashboard.deleteMany({ where: { id, userId } });
+
+      const remaining = await tx.dashboard.findMany({
+        where: { userId },
+        orderBy: { position: 'asc' },
+      });
+
+      for (const [index, dashboard] of remaining.entries()) {
+        await tx.dashboard.updateMany({
+          where: { id: dashboard.id, userId },
+          data: { position: index },
+        });
+      }
+
+      return { id };
+    });
+  }
+
+  /**
+   * Persistiert die Reihenfolge der Reiter des Benutzers
+   * (quick-260923-ad9, Task 2). Wörtlich nach dem Muster
+   * `FavoritesService.reorder` (260917-jdd): EINE `withTenantTransaction`,
+   * darin erst die vorhandenen Kennungen lesen, auf exakte Übereinstimmung
+   * mit der gesendeten Liste prüfen (sonst Abweisung, KEIN Teilschreiben —
+   * die Prüfung läuft VOR jedem `updateMany`), dann je Eintrag ein
+   * `updateMany` mit `id` UND `userId` in der Bedingung und einer Prüfung
+   * auf genau eine getroffene Zeile (T-AD9-04). Existenzorakel-Vermeidung:
+   * EINE `BadRequestException` mit DERSELBEN Meldung für unvollständige,
+   * unbekannte und fremde Kennungen — kein Fall verrät, welcher Grund
+   * zutraf (Muster T-GWH-05/T-JDD-06).
+   */
+  async reorderDashboards(userId: string, tenantId: string, dto: ReorderDashboardsDto) {
+    if (new Set(dto.ids).size !== dto.ids.length) {
+      throw new BadRequestException('ids must match the dashboards of this user exactly');
+    }
+
+    return withTenantTransaction(this.prisma, tenantId, async (tx) => {
+      const existing = await tx.dashboard.findMany({
+        where: { userId },
+        select: { id: true },
+      });
+      const existingIds = new Set(existing.map((r: { id: string }) => r.id));
+
+      if (existing.length !== dto.ids.length || dto.ids.some((id) => !existingIds.has(id))) {
+        throw new BadRequestException('ids must match the dashboards of this user exactly');
+      }
+
+      for (const [index, id] of dto.ids.entries()) {
+        const { count } = await tx.dashboard.updateMany({
+          where: { id, userId },
+          data: { position: index },
+        });
+
+        if (count !== 1) {
+          throw new BadRequestException('ids must match the dashboards of this user exactly');
+        }
+      }
+
+      return tx.dashboard.findMany({
+        where: { userId },
+        orderBy: { position: 'asc' },
+      });
+    });
+  }
+
+  /**
+   * Returns the saved layout of one dashboard tab, or a default empty
+   * layout with all breakpoint arrays initialized.
+   *
+   * quick-260923-ad9 (D-02): scoped by `dashboardId` instead of `userId` —
+   * `assertOwnedDashboard` runs first, over the SAME bound client.
+   */
+  async getLayout(userId: string, tenantId: string, dashboardId: string) {
+    const tenantPrisma = forTenant(this.prisma, tenantId, userId);
+    await this.assertOwnedDashboard(tenantPrisma, dashboardId, userId);
+
+    const record = await tenantPrisma.dashboardLayout.findUnique({
+      where: { dashboardId },
     });
 
     if (!record) {
@@ -105,32 +334,33 @@ export class DashboardService {
   }
 
   /**
-   * Upserts the user's dashboard layout.
+   * Upserts the layout of one dashboard tab.
    * Creates a new record if none exists, updates if it does.
    *
-   * `userId` is platform-wide `@unique` (no tenant component) — a tenant
-   * whose user id was, by hand, moved off its actually-visible row could hit
-   * an `upsert` conflict on a row it cannot see under RLS. Measured
-   * (260910-krx, Aufgabe 1): a bound conflicting upsert against such a row
-   * throws `Prisma.PrismaClientUnknownRequestError` (NOT the `P2002` known
-   * error that the `tenders` area's translation pattern catches — this is a
+   * quick-260923-ad9 (D-02): scoped by `dto.dashboardId` instead of
+   * `userId` — `assertOwnedDashboard` runs first, over the SAME bound
+   * client. `dashboardId` is now the `@unique` column on `DashboardLayout`
+   * (was `userId` before this plan).
+   *
+   * A bound conflicting upsert against a row invisible under RLS throws
+   * `Prisma.PrismaClientUnknownRequestError` (NOT the `P2002` known error
+   * that the `tenders` area's translation pattern catches — this is a
    * different Prisma error class, `.code`/`.meta` are `undefined`, the only
-   * signal is the raw `.message` text). Translated below into an
-   * understandable German message instead of a raw 500, same intent as
-   * `tender-notification-pref.service.ts`, different detection. Not
-   * reachable via any application path today (a user's tenant id never
-   * changes after creation) — the honest fix is a schema change and is
-   * deferred as a product decision to Etappe 3, same as WINDOWS #22.
+   * signal is the raw `.message` text) — measured 260910-krx, Aufgabe 1,
+   * translation kept unchanged from before this plan.
    */
   async saveLayout(userId: string, tenantId: string, dto: SaveLayoutDto) {
     const tenantPrisma = forTenant(this.prisma, tenantId, userId);
+    await this.assertOwnedDashboard(tenantPrisma, dto.dashboardId, userId);
+
     try {
       return await tenantPrisma.dashboardLayout.upsert({
-        where: { userId },
+        where: { dashboardId: dto.dashboardId },
         update: { layouts: dto.layouts as unknown as Prisma.InputJsonValue },
         create: {
           userId,
           tenantId,
+          dashboardId: dto.dashboardId,
           layouts: dto.layouts as unknown as Prisma.InputJsonValue,
         },
       });
@@ -145,12 +375,13 @@ export class DashboardService {
   }
 
   /**
-   * Returns all widget instances for a given user, gefiltert um Widgets
+   * Returns all widget instances of one dashboard tab, gefiltert um Widgets
    * eines für den Benutzer gesperrten Moduls (D-22, PERM-07).
    *
-   * Die bestehende Query bleibt unverändert die erste Aktion. Steht unter
-   * den geladenen Widgets kein einziger Typ in `WIDGET_MODULE_MAP` — der
-   * Zustand am Ende dieser Phase, weil die Tabelle leer ist — wird die
+   * quick-260923-ad9 (D-02): scoped by `dashboardId` instead of `userId` —
+   * `assertOwnedDashboard` runs first, over the SAME bound client. Steht
+   * unter den geladenen Widgets kein einziger Typ in `WIDGET_MODULE_MAP` —
+   * der Zustand am Ende dieser Phase, weil die Tabelle leer ist — wird die
    * Liste unverändert zurückgegeben, ohne einen Zugriffs-Lookup. Nur bei
    * mindestens einem modulgebundenen Widget wird die Zugriffsauflösung
    * aus 15-01 einmal aufgerufen (D-01: dieselbe Auflösung wie Guard und
@@ -158,10 +389,12 @@ export class DashboardService {
    * Modul-Slug nicht auf einen `Module`-Datensatz auflösen, wird das
    * betroffene Widget entfernt (Fail-Closed).
    */
-  async getWidgets(userId: string, tenantId: string, role: Role) {
+  async getWidgets(userId: string, tenantId: string, role: Role, dashboardId: string) {
     const tenantPrisma = forTenant(this.prisma, tenantId, userId);
+    await this.assertOwnedDashboard(tenantPrisma, dashboardId, userId);
+
     const widgets = await tenantPrisma.widgetInstance.findMany({
-      where: { userId },
+      where: { dashboardId },
       orderBy: { createdAt: 'asc' },
     });
 
@@ -207,14 +440,20 @@ export class DashboardService {
   }
 
   /**
-   * Creates a new widget instance for the user.
+   * Creates a new widget instance on one dashboard tab.
+   * quick-260923-ad9 (D-02): `assertOwnedDashboard` runs first, over the
+   * SAME bound client — a widget can only be created on a tab the caller
+   * owns.
    */
   async addWidget(userId: string, tenantId: string, dto: CreateWidgetDto) {
     const tenantPrisma = forTenant(this.prisma, tenantId, userId);
+    await this.assertOwnedDashboard(tenantPrisma, dto.dashboardId, userId);
+
     return tenantPrisma.widgetInstance.create({
       data: {
         userId,
         tenantId,
+        dashboardId: dto.dashboardId,
         widgetType: dto.widgetType,
         config: (dto.config ?? {}) as unknown as Prisma.InputJsonValue,
       },

apps/api/src/dashboard/dto/create-widget.dto.ts

@@ -2,7 +2,7 @@ import { IsIn, IsObject, IsOptional, IsString } from 'class-validator';
 import { WIDGET_TYPES } from '@tessera/shared';
 
 /**
- * DTO for creating a new widget instance on a user's dashboard.
+ * DTO for creating a new widget instance on one dashboard tab.
  *
  * quick-260922-m1h: `widgetType` wird gegen `WIDGET_TYPES` aus
  * `@tessera/shared` geprüft — dieselbe Liste, aus der das Frontend seine
@@ -10,9 +10,15 @@ import { WIDGET_TYPES } from '@tessera/shared';
  * zweites Mal; vergaß man einen Eintrag, lehnte die API eine im Katalog
  * angebotene Kachel mit 400 ab.
  *
+ * quick-260923-ad9: `dashboardId` selects the tab — the service verifies
+ * ownership before writing (`assertOwnedDashboard`).
+ *
  * config is optional and defaults to {} on the model.
  */
 export class CreateWidgetDto {
+  @IsString()
+  dashboardId!: string;
+
   @IsString()
   @IsIn([...WIDGET_TYPES])
   widgetType!: string;

apps/api/src/dashboard/dto/rename-dashboard.dto.ts

@@ -0,0 +1,17 @@
+import { Transform } from 'class-transformer';
+import { IsString, Length } from 'class-validator';
+
+/**
+ * DTO for `PATCH /dashboard/tabs/:id` (quick-260923-ad9, Task 2).
+ *
+ * `name` wird VOR der Längenprüfung beschnitten (führende/nachgestellte
+ * Leerräume zählen nicht mit) — ein reiner Leerraum-Name schlägt danach an
+ * `@Length(1, 40)` fehl. Die Obergrenze von 40 Zeichen ist ein Riegel gegen
+ * Massenanfragen, kein UI-Detail (T-AD9-06).
+ */
+export class RenameDashboardDto {
+  @Transform(({ value }) => (typeof value === 'string' ? value.trim() : value))
+  @IsString()
+  @Length(1, 40)
+  name!: string;
+}

apps/api/src/dashboard/dto/reorder-dashboards.dto.ts

@@ -0,0 +1,26 @@
+import {
+  ArrayMaxSize,
+  ArrayMinSize,
+  ArrayUnique,
+  IsArray,
+  IsString,
+} from 'class-validator';
+
+/**
+ * DTO for `PUT /dashboard/tabs/order` (quick-260923-ad9, Task 2).
+ *
+ * `ids` ist die VOLLSTÄNDIGE Kennungsliste der Reiter des Benutzers, in
+ * der gewünschten Reihenfolge — der Dienst verlangt einen exakten Abgleich
+ * gegen die vorhandenen Reiter (kein Teil-Umsortieren, keine fremden/
+ * unbekannten Kennungen), Muster `ReorderFavoritesDto`/`FavoritesService.
+ * reorder` (260917-jdd). `ArrayMaxSize(20)` ist ein Riegel gegen
+ * Massenanfragen (T-AD9-06) — ein Benutzer hat höchstens 20 Reiter.
+ */
+export class ReorderDashboardsDto {
+  @IsArray()
+  @ArrayMinSize(1)
+  @ArrayMaxSize(20)
+  @ArrayUnique()
+  @IsString({ each: true })
+  ids!: string[];
+}

apps/api/src/dashboard/dto/save-layout.dto.ts

@@ -1,11 +1,16 @@
-import { IsObject } from 'class-validator';
+import { IsObject, IsString } from 'class-validator';
 
 /**
- * DTO for saving/updating a user's dashboard layout.
+ * DTO for saving/updating the layout of one dashboard tab (quick-260923-ad9).
  * The layouts object contains responsive breakpoint layouts
  * (lg, md, sm, xs, xxs) as managed by react-grid-layout.
+ * `dashboardId` selects the tab — the service verifies ownership before
+ * writing (`assertOwnedDashboard`).
  */
 export class SaveLayoutDto {
+  @IsString()
+  dashboardId!: string;
+
   @IsObject()
   layouts!: Record<string, unknown>;
 }

apps/api/src/dashboard/widget-module-map.spec.ts

@@ -39,8 +39,11 @@ describe('widget-module-map (quick-260922-m1h)', () => {
  * ablehnen zu lassen.
  */
 describe('CreateWidgetDto-Whitelist (quick-260922-m1h)', () => {
+  // quick-260923-ad9: dashboardId ist seither ein Pflichtfeld (Reiter-
+  // Kennung) — hier fest mitgegeben, damit dieser Test weiterhin nur die
+  // Whitelist von widgetType prueft.
   async function validateType(widgetType: string) {
-    const dto = plainToInstance(CreateWidgetDto, { widgetType });
+    const dto = plainToInstance(CreateWidgetDto, { widgetType, dashboardId: 'dash-1' });
     return validate(dto);
   }
 

apps/api/src/prisma/rls-access-inventory.spec.ts

@@ -165,11 +165,20 @@ const RELATION_SPEC_EXCEPTIONS = new Set<string>(['apps/api/src/tenders/backfill
  * systemgebundenem Startpfad": `ldap-config.service.ts`, dessen
  * Nachverschluesselung in `onApplicationBootstrap()` genauso gebaut ist.
  * Summe neu: 5 Dateien, 6 Aufrufe.
+ *
+ * quick-260923-dhh (Aufgabe 4): eine sechste Datei kommt hinzu —
+ * `proxmox.service.ts`/`loadActiveServersForScheduler()`, derselbe
+ * Startpfad-Fall wie `dkv.service.ts`: der Planer liest beim Start ALLE
+ * aktiven `ProxmoxServer`-Zeilen aller Mandanten (`system_read_policy` auf
+ * `ProxmoxServer`, Migration 20260923140000), registriert je Mandant einen
+ * Cron-Auftrag, und schreibt danach ausschliesslich je Zeile gebunden ueber
+ * `forTenant()`. Summe neu: 6 Dateien, 7 Aufrufe.
  */
 const FORSYSTEM_ALLOWED_CALL_SITES = new Map<string, number>([
   ['apps/api/src/dashboard/dashboard-images.service.ts', 1],
   ['apps/api/src/dkv/dkv.service.ts', 1],
   ['apps/api/src/ldap/ldap-config.service.ts', 2],
+  ['apps/api/src/proxmox/proxmox.service.ts', 1],
   ['apps/api/src/tenders/tender-digest.scheduler.ts', 1],
   ['apps/api/src/tenders/tender-matching.service.ts', 1],
 ]);

apps/api/src/proxmox/dto/proxmox-server.dto.ts

@@ -0,0 +1,163 @@
+import {
+  IsBoolean,
+  IsIn,
+  IsInt,
+  IsNotEmpty,
+  IsOptional,
+  IsString,
+  IsUrl,
+  Max,
+  Min,
+  Validate,
+  ValidateIf,
+  type ValidationArguments,
+  ValidatorConstraint,
+  type ValidatorConstraintInterface,
+} from 'class-validator';
+
+/**
+ * D-03: PMG kennt laut Recherche keinen API-Token (Annahme A1) — ein Server
+ * vom Typ `pmg` mit `authMethod: 'token'` wird bereits beim Speichern mit
+ * einer deutschen Klartextmeldung abgelehnt (400), nicht erst beim
+ * Abfragen. Angebracht am Feld `authMethod`, liest aber `productType`
+ * desselben Objekts (`args.object`) — class-validator erlaubt das.
+ */
+@ValidatorConstraint({ name: 'pmgOhneToken', async: false })
+class PmgOhneTokenConstraint implements ValidatorConstraintInterface {
+  validate(_value: unknown, args: ValidationArguments): boolean {
+    const obj = args.object as { productType?: string; authMethod?: string };
+    return !(obj.productType === 'pmg' && obj.authMethod === 'token');
+  }
+
+  defaultMessage(): string {
+    return 'PMG unterstuetzt keinen API-Token-Zugang. Bitte Benutzer und Passwort waehlen.';
+  }
+}
+
+/**
+ * DTO fuer das Anlegen eines Proxmox-Servers (Aufgabe 1). Pflichtfelder je
+ * `authMethod` mit `@ValidateIf` (Aufgabe 2): ein Token-Zugang verlangt
+ * `tokenId`/`tokenSecret`, ein Passwort-Zugang `username`/`password`.
+ */
+export class CreateProxmoxServerDto {
+  @IsString()
+  @IsNotEmpty()
+  name!: string;
+
+  @IsIn(['pve', 'pbs', 'pmg'])
+  productType!: 'pve' | 'pbs' | 'pmg';
+
+  // require_tld: false — interne Namen wie "pve.intern" sind sonst abgelehnt.
+  @IsUrl({ protocols: ['http', 'https'], require_tld: false })
+  baseUrl!: string;
+
+  @IsIn(['token', 'password'])
+  @Validate(PmgOhneTokenConstraint)
+  authMethod!: 'token' | 'password';
+
+  @ValidateIf((o) => o.authMethod === 'token')
+  @IsString()
+  @IsNotEmpty()
+  tokenId?: string;
+
+  @ValidateIf((o) => o.authMethod === 'token')
+  @IsString()
+  @IsNotEmpty()
+  tokenSecret?: string;
+
+  @ValidateIf((o) => o.authMethod === 'password')
+  @IsString()
+  @IsNotEmpty()
+  username?: string;
+
+  @ValidateIf((o) => o.authMethod === 'password')
+  @IsString()
+  @IsNotEmpty()
+  password?: string;
+
+  @IsBoolean()
+  @IsOptional()
+  tlsRejectUnauthorized?: boolean;
+
+  @IsInt()
+  @Min(1)
+  @Max(1440)
+  @IsOptional()
+  pollIntervalMin?: number;
+
+  @IsBoolean()
+  @IsOptional()
+  isActive?: boolean;
+}
+
+/**
+ * DTO fuer das Bearbeiten (Aufgabe 5). Alle Felder optional; ein NICHT
+ * gesendetes Geheimnisfeld laesst den gespeicherten Wert unveraendert, eine
+ * LEERE Zeichenkette bedeutet "loeschen" (Muster `LdapConfigService.updateConfig`)
+ * — diese Unterscheidung lebt im Service, nicht im DTO, deshalb bleiben
+ * `tokenSecret`/`password` hier einfache optionale Zeichenketten ohne
+ * `IsNotEmpty`.
+ */
+export class UpdateProxmoxServerDto {
+  @IsString()
+  @IsNotEmpty()
+  @IsOptional()
+  name?: string;
+
+  @IsIn(['pve', 'pbs', 'pmg'])
+  @IsOptional()
+  productType?: 'pve' | 'pbs' | 'pmg';
+
+  @IsUrl({ protocols: ['http', 'https'], require_tld: false })
+  @IsOptional()
+  baseUrl?: string;
+
+  @IsIn(['token', 'password'])
+  @Validate(PmgOhneTokenConstraint)
+  @IsOptional()
+  authMethod?: 'token' | 'password';
+
+  @IsString()
+  @IsOptional()
+  tokenId?: string;
+
+  @IsString()
+  @IsOptional()
+  tokenSecret?: string;
+
+  @IsString()
+  @IsOptional()
+  username?: string;
+
+  @IsString()
+  @IsOptional()
+  password?: string;
+
+  @IsBoolean()
+  @IsOptional()
+  tlsRejectUnauthorized?: boolean;
+
+  @IsInt()
+  @Min(1)
+  @Max(1440)
+  @IsOptional()
+  pollIntervalMin?: number;
+
+  @IsBoolean()
+  @IsOptional()
+  isActive?: boolean;
+}
+
+/**
+ * DTO fuer den Verbindungstest (Nachbesserung Befund 1, Rundgang zu Aufgabe 4):
+ * derselbe Feldsatz wie `UpdateProxmoxServerDto` — der Test soll auf JEDEM
+ * dieser Felder den ungespeicherten Formularwert pruefen koennen, nicht den
+ * gespeicherten Stand. Ein NICHT gesendetes oder leeres Geheimnisfeld heisst
+ * "gespeicherten Wert weiterverwenden" (Merge-Logik in
+ * `ProxmoxService.resolveEffectiveTestServer`), genau wie beim Bearbeiten.
+ * Fuer die Neuanlage (noch kein gespeicherter Server) bleiben alle Felder
+ * optional, weil es dort keinen gespeicherten Fallback gibt — ein fehlendes
+ * Pflichtfeld fuehrt dort einfach zum selben Fehlerschluessel wie ein leer
+ * gelassenes Feld beim Anlegen selbst (z. B. `zugang` ohne Geheimnis).
+ */
+export class TestProxmoxServerDto extends UpdateProxmoxServerDto {}

apps/api/src/proxmox/proxmox-auth.ts

@@ -0,0 +1,143 @@
+import { Agent, fetch as undiciFetch } from 'undici';
+import { classifyFailure, parseJsonLenient } from './proxmox-client.service';
+import type { ProxmoxErrorKind, ProxmoxProductType } from './proxmox.types';
+
+/**
+ * Die EINZIGE Stelle im gesamten Modul, die Anmeldeinformationen in
+ * Kopfzeilen (und ab Aufgabe 2 Cookies) uebersetzt (D-03, key_link):
+ * Klient, Verbindungstest und Planer rufen ausschliesslich diese Funktionen
+ * — keiner baut eine Kopfzeile nach. Jede Funktion nimmt Klartext entgegen
+ * und gibt nur die Kopfzeile zurueck; keine protokolliert das Geheimnis,
+ * keine wirft es in eine Fehlermeldung (T-DHH-01).
+ */
+
+/**
+ * API-Token-Kopfzeile. PVE und PBS teilen sich das Schema `<Produkt>APIToken`,
+ * unterscheiden sich aber im Trennzeichen vor dem Geheimnis (Recherche,
+ * Block 1): PVE nutzt ein Gleichheitszeichen, PBS einen Doppelpunkt. PMG
+ * kennt laut Recherche (Annahme A1, Forenbeleg, kein Primaerbeleg) kein
+ * Token-Schema — ein Aufruf mit `productType: 'pmg'` ist ein Programmierfehler
+ * (das DTO lehnt einen PMG-Token-Zugang bereits beim Speichern ab, siehe
+ * Aufgabe 2) und wirft deshalb statt still eine unbrauchbare Kopfzeile zu bauen.
+ */
+export function buildTokenAuthHeader(
+  productType: ProxmoxProductType,
+  tokenId: string,
+  tokenSecret: string,
+): { Authorization: string } {
+  if (productType === 'pve') {
+    return { Authorization: `PVEAPIToken=${tokenId}=${tokenSecret}` };
+  }
+  if (productType === 'pbs') {
+    return { Authorization: `PBSAPIToken=${tokenId}:${tokenSecret}` };
+  }
+  throw new Error(
+    'PMG unterstuetzt keinen API-Token-Zugang (Annahme A1 der Recherche) — dieser Aufruf haette bereits beim Speichern des Servers abgelehnt werden muessen.',
+  );
+}
+
+/** 8 Sekunden — derselbe Wert wie `proxmox-client.service.ts` (Proxmox-Server stehen im lokalen Netz). */
+const TICKET_LOGIN_TIMEOUT_MS = 8000;
+
+/**
+ * Cookie-Name je Produkt, unter dem Folgeanfragen das Ticket mitfuehren.
+ * PVE ist woertlich aus der offiziellen Wiki-Seite zitiert; PBS und PMG
+ * sind aus dem Muster ABGELEITET, NICHT in der Doku bestaetigt (Recherche,
+ * Annahme A2) — der Nutzer bestaetigt sie an seinen echten Servern. Steht
+ * dort ein anderer Name, ist GENAU DIESE Konstante anzupassen, sonst nichts.
+ */
+const TICKET_COOKIE_NAME: Record<ProxmoxProductType, string> = {
+  pve: 'PVEAuthCookie',
+  pbs: 'PBSAuthCookie', // ANNAHME A2 — abgeleitet, nicht in pbs.proxmox.com/docs bestaetigt
+  pmg: 'PMGAuthCookie', // ANNAHME A2 — abgeleitet, nicht im pmg-admin-guide bestaetigt
+};
+
+/** Cookie-Kopfzeile fuer eine Ticket-Folgeanfrage. Kein `CSRFPreventionToken` — dieses Modul liest nur (D-01, Recherche Block 1). */
+export function buildTicketCookieHeader(
+  productType: ProxmoxProductType,
+  ticket: string,
+): { Cookie: string } {
+  return { Cookie: `${TICKET_COOKIE_NAME[productType]}=${ticket}` };
+}
+
+export type LoginTicketResult =
+  | { ok: true; ticket: string }
+  | { ok: false; errorKind: ProxmoxErrorKind; errorDetail: string };
+
+/**
+ * Ticket-Anmeldung — die EINZIGE Stelle im gesamten Modul, die eine
+ * NICHT-lesende Anfrage an Proxmox schickt (D-01, `proxmox-nur-
+ * lesen.spec.ts` zaehlt das maschinell nach). Sie aendert bei Proxmox
+ * nichts — sie holt nur einen Nachweis (ein Ticket) ab, mit dem
+ * Folgeanfragen sich als der eingetragene Benutzer ausweisen. Wie
+ * `proxmoxGet` wirft sie nach aussen nichts: jeder Fehlerfall landet als
+ * Ergebniswert.
+ */
+export async function loginTicket(
+  target: { baseUrl: string; tlsRejectUnauthorized: boolean },
+  productType: ProxmoxProductType,
+  username: string,
+  password: string,
+): Promise<LoginTicketResult> {
+  const dispatcher = target.tlsRejectUnauthorized
+    ? undefined
+    : new Agent({ connect: { rejectUnauthorized: false } });
+
+  const controller = new AbortController();
+  const timeout = setTimeout(() => controller.abort(), TICKET_LOGIN_TIMEOUT_MS);
+  const url = `${target.baseUrl.replace(/\/+$/, '')}/api2/json/access/ticket`;
+
+  try {
+    const body = new URLSearchParams({ username, password });
+    // GENAU HIER, und nirgendwo sonst im Modul, wird ein Anfrageverfahren
+    // explizit an `undiciFetch` uebergeben (`method: 'POST'`) — der
+    // maschinelle Riegel `proxmox-nur-lesen.spec.ts` erwartet diese Zahl
+    // als exakt EINS.
+    const response = await undiciFetch(url, {
+      method: 'POST',
+      dispatcher,
+      signal: controller.signal,
+      headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
+      body: body.toString(),
+    });
+
+    const text = await response.text();
+
+    if (!response.ok) {
+      return {
+        ok: false,
+        errorKind: classifyFailure(response.status, null),
+        errorDetail: `Ticket-Anmeldung fehlgeschlagen (Status ${response.status})`,
+      };
+    }
+
+    const parsed = parseJsonLenient(text);
+    if (!parsed.ok) {
+      return {
+        ok: false,
+        errorKind: 'antwortform',
+        errorDetail: 'Die Antwort der Ticket-Anmeldung war kein JSON.',
+      };
+    }
+
+    const data = (parsed.data as { data?: { ticket?: unknown } } | null)?.data;
+    const ticket = data && typeof data.ticket === 'string' ? data.ticket : null;
+    if (!ticket) {
+      return {
+        ok: false,
+        errorKind: 'antwortform',
+        errorDetail: 'Die Antwort der Ticket-Anmeldung enthielt kein Ticket.',
+      };
+    }
+
+    return { ok: true, ticket };
+  } catch (err) {
+    return {
+      ok: false,
+      errorKind: classifyFailure(null, err),
+      errorDetail: 'Ticket-Anmeldung fehlgeschlagen: Verbindung nicht moeglich.',
+    };
+  } finally {
+    clearTimeout(timeout);
+  }
+}

apps/api/src/proxmox/proxmox-client.service.spec.ts

@@ -0,0 +1,375 @@
+import { afterEach, describe, expect, it, vi } from 'vitest';
+
+/**
+ * `undici` wird gemockt, damit KEIN Test tatsaechlich ins Netz geht (Vorbild
+ * `icon-discovery.service.spec.ts`).
+ */
+vi.mock('undici', () => ({
+  Agent: class Agent {
+    constructor(public readonly options: unknown) {}
+  },
+  // biome-ignore lint/suspicious/noExplicitAny: Test-Attrappe, Signatur folgt dem Original
+  fetch: (...args: unknown[]) => (globalThis.fetch as any)(...args),
+}));
+
+vi.mock('../prisma/prisma-tenant.extension', () => ({
+  forTenant: vi.fn((p: unknown) => p),
+  forSystem: vi.fn((p: unknown) => p),
+}));
+
+import { validate } from 'class-validator';
+import { forTenant } from '../prisma/prisma-tenant.extension';
+import { CreateProxmoxServerDto } from './dto/proxmox-server.dto';
+import { buildTicketCookieHeader, loginTicket } from './proxmox-auth';
+import { classifyFailure, parseJsonLenient, proxmoxGet } from './proxmox-client.service';
+import { ProxmoxService } from './proxmox.service';
+
+const crypto = {
+  encrypt: vi.fn((plaintext: string) =>
+    ['aa11', 'bb22', Buffer.from(plaintext, 'utf8').toString('hex')].join(':'),
+  ),
+  decrypt: vi.fn((stored: string) => {
+    const [, , ciphertext] = stored.split(':');
+    return Buffer.from(ciphertext, 'hex').toString('utf8');
+  }),
+};
+
+function makeFakePrisma() {
+  const servers = new Map<string, any>();
+  const statuses = new Map<string, any>();
+
+  function applySelect(row: any, select: Record<string, boolean> | undefined) {
+    if (!select) return { ...row };
+    const out: Record<string, unknown> = {};
+    for (const key of Object.keys(select)) {
+      if (key === 'status') {
+        out.status = statuses.get(row.id) ?? null;
+        continue;
+      }
+      if (select[key]) out[key] = row[key];
+    }
+    return out;
+  }
+
+  const proxmoxServer = {
+    create: vi.fn(async ({ data, select }: { data: any; select?: any }) => {
+      const id = `srv-${servers.size + 1}`;
+      const row = { id, createdAt: new Date(), updatedAt: new Date(), ...data };
+      delete row.status;
+      servers.set(id, row);
+      if (data.status?.create) {
+        statuses.set(id, { id: `status-${id}`, serverId: id, updatedAt: new Date(), ...data.status.create });
+      }
+      return applySelect(row, select);
+    }),
+    findMany: vi.fn(async ({ where, select }: { where?: any; select?: any } = {}) => {
+      let rows = [...servers.values()];
+      if (where?.tenantId) rows = rows.filter((r) => r.tenantId === where.tenantId);
+      return rows.map((r) => applySelect(r, select));
+    }),
+    findUnique: vi.fn(async ({ where }: { where: { id: string } }) => {
+      const row = servers.get(where.id);
+      return row ? { ...row } : null;
+    }),
+  };
+
+  const proxmoxServerStatus = {
+    upsert: vi.fn(
+      async ({
+        where,
+        create,
+        update,
+      }: {
+        where: { serverId: string };
+        create: Record<string, unknown>;
+        update: Record<string, unknown>;
+      }) => {
+        const existing = statuses.get(where.serverId);
+        const record = existing
+          ? { ...existing, ...update }
+          : { id: `status-${where.serverId}`, updatedAt: new Date(), ...create };
+        statuses.set(where.serverId, record);
+        return { ...record };
+      },
+    ),
+  };
+
+  return { proxmoxServer, proxmoxServerStatus, __servers: servers, __statuses: statuses };
+}
+
+const PASSWORD_DTO = {
+  name: 'pmg-1',
+  productType: 'pmg' as const,
+  baseUrl: 'https://pmg.intern:8006',
+  authMethod: 'password' as const,
+  username: 'admin@pmg',
+  password: 'geheimes-passwort',
+};
+
+function pveResourcesBody() {
+  return { data: [{ type: 'node', node: 'pve1', cpu: 0.1, maxcpu: 4, mem: 1, maxmem: 2 }] };
+}
+
+describe('classifyFailure (Aufgabe 2, <behavior>)', () => {
+  it('401 -> zugang, 403 -> rechte, 404 -> antwortform, 5xx -> server', () => {
+    expect(classifyFailure(401, null)).toBe('zugang');
+    expect(classifyFailure(403, null)).toBe('rechte');
+    expect(classifyFailure(404, null)).toBe('antwortform');
+    expect(classifyFailure(500, null)).toBe('server');
+    expect(classifyFailure(503, null)).toBe('server');
+  });
+
+  it('ein geworfener Netzfehler ohne Antwort wird zu netz', () => {
+    expect(classifyFailure(null, new Error('ECONNREFUSED'))).toBe('netz');
+    expect(classifyFailure(null, new Error('timeout'))).toBe('netz');
+  });
+
+  it('ein Zertifikatsfehler wird zu zertifikat, NICHT zu netz', () => {
+    const err = new Error('self signed certificate') as Error & { code?: string };
+    err.code = 'DEPTH_ZERO_SELF_SIGNED_CERT';
+    expect(classifyFailure(null, err)).toBe('zertifikat');
+  });
+
+  it('ein unbekannter Statuscode wird zu unbekannt', () => {
+    expect(classifyFailure(418, null)).toBe('unbekannt');
+  });
+});
+
+describe('parseJsonLenient (Aufgabe 2, <behavior>)', () => {
+  it('gueltiges JSON -> ok:true mit den Daten', () => {
+    expect(parseJsonLenient('{"a":1}')).toEqual({ ok: true, data: { a: 1 } });
+  });
+
+  it('kein JSON (HTML-Anmeldeseite) -> ok:false, kein Wurf', () => {
+    expect(() => parseJsonLenient('<html>login</html>')).not.toThrow();
+    expect(parseJsonLenient('<html>login</html>')).toEqual({ ok: false });
+  });
+
+  it('leerer Rumpf -> ok:false', () => {
+    expect(parseJsonLenient('')).toEqual({ ok: false });
+  });
+});
+
+describe('proxmoxGet — Integration gegen gemockten undici-Aufruf', () => {
+  afterEach(() => {
+    vi.restoreAllMocks();
+    vi.unstubAllGlobals();
+  });
+
+  it('401 wird zu errorKind zugang', async () => {
+    vi.stubGlobal('fetch', vi.fn(async () => new Response('Unauthorized', { status: 401 })));
+    const result = await proxmoxGet(
+      { baseUrl: 'https://pve.intern', tlsRejectUnauthorized: true, headers: {} },
+      '/api2/json/cluster/resources',
+    );
+    expect(result.ok).toBe(false);
+    expect(result.errorKind).toBe('zugang');
+  });
+
+  it('404 wird zu errorKind antwortform', async () => {
+    vi.stubGlobal('fetch', vi.fn(async () => new Response('not found', { status: 404 })));
+    const result = await proxmoxGet(
+      { baseUrl: 'https://pve.intern', tlsRejectUnauthorized: true, headers: {} },
+      '/api2/json/cluster/resources',
+    );
+    expect(result.errorKind).toBe('antwortform');
+  });
+
+  it('ein geworfener Netzfehler ohne Antwort wird zu errorKind netz', async () => {
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async () => {
+        throw new Error('ECONNREFUSED');
+      }),
+    );
+    const result = await proxmoxGet(
+      { baseUrl: 'https://pve.intern', tlsRejectUnauthorized: true, headers: {} },
+      '/api2/json/cluster/resources',
+    );
+    expect(result.errorKind).toBe('netz');
+  });
+
+  it('eine Antwort, die kein JSON ist, fuehrt zu antwortform — kein Wurf', async () => {
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async () => new Response('<html>Anmeldeseite</html>', { status: 200 })),
+    );
+    await expect(
+      proxmoxGet(
+        { baseUrl: 'https://pve.intern', tlsRejectUnauthorized: true, headers: {} },
+        '/api2/json/cluster/resources',
+      ),
+    ).resolves.toMatchObject({ ok: false, errorKind: 'antwortform' });
+  });
+
+  it('errorDetail enthaelt niemals ein Geheimnis', async () => {
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async () => new Response(JSON.stringify({ errors: { password: 'invalid' } }), { status: 401 })),
+    );
+    const result = await proxmoxGet(
+      {
+        baseUrl: 'https://pve.intern',
+        tlsRejectUnauthorized: true,
+        headers: { Authorization: 'PVEAPIToken=user@pam!tok=super-geheimes-secret-xyz' },
+      },
+      '/api2/json/cluster/resources',
+    );
+    expect(result.errorDetail).not.toContain('super-geheimes-secret-xyz');
+  });
+});
+
+describe('Ticket-Anmeldung (loginTicket) und Cookie-Kopfzeile (Aufgabe 2, <behavior>)', () => {
+  afterEach(() => {
+    vi.restoreAllMocks();
+    vi.unstubAllGlobals();
+  });
+
+  it('POST /api2/json/access/ticket mit username/password liefert data.ticket', async () => {
+    const fetchSpy = vi.fn(async (url: string, options: RequestInit) => {
+      expect(url).toBe('https://pmg.intern:8006/api2/json/access/ticket');
+      expect(options.method).toBe('POST');
+      expect(options.body).toBe('username=admin%40pmg&password=geheimes-passwort');
+      return new Response(JSON.stringify({ data: { ticket: 'PMG:admin@pmg:abc123' } }), { status: 200 });
+    });
+    vi.stubGlobal('fetch', fetchSpy);
+
+    const result = await loginTicket(
+      { baseUrl: 'https://pmg.intern:8006', tlsRejectUnauthorized: true },
+      'pmg',
+      'admin@pmg',
+      'geheimes-passwort',
+    );
+
+    expect(result).toEqual({ ok: true, ticket: 'PMG:admin@pmg:abc123' });
+  });
+
+  it('kein CSRFPreventionToken wird jemals mitgesendet', async () => {
+    const fetchSpy = vi.fn(async (_url: string, options: RequestInit) => {
+      const headerKeys = Object.keys((options.headers as Record<string, string>) ?? {});
+      expect(headerKeys.some((k) => k.toLowerCase().includes('csrf'))).toBe(false);
+      expect(String(options.body)).not.toContain('CSRF');
+      return new Response(JSON.stringify({ data: { ticket: 't' } }), { status: 200 });
+    });
+    vi.stubGlobal('fetch', fetchSpy);
+    await loginTicket({ baseUrl: 'https://pve.intern', tlsRejectUnauthorized: true }, 'pve', 'u', 'p');
+  });
+
+  it('Cookie-Kopfzeile traegt den produktabhaengigen Namen (PVE/PBS/PMG)', () => {
+    expect(buildTicketCookieHeader('pve', 'T1')).toEqual({ Cookie: 'PVEAuthCookie=T1' });
+    expect(buildTicketCookieHeader('pbs', 'T1')).toEqual({ Cookie: 'PBSAuthCookie=T1' });
+    expect(buildTicketCookieHeader('pmg', 'T1')).toEqual({ Cookie: 'PMGAuthCookie=T1' });
+  });
+
+  it('401 bei der Anmeldung selbst wird zu errorKind zugang', async () => {
+    vi.stubGlobal('fetch', vi.fn(async () => new Response('nope', { status: 401 })));
+    const result = await loginTicket(
+      { baseUrl: 'https://pve.intern', tlsRejectUnauthorized: true },
+      'pve',
+      'u',
+      'falsch',
+    );
+    expect(result).toMatchObject({ ok: false, errorKind: 'zugang' });
+  });
+});
+
+describe('PMG + Token wird beim Speichern abgelehnt (Aufgabe 2, <behavior>)', () => {
+  it('DTO-Validierung schlaegt fehl fuer productType pmg + authMethod token', async () => {
+    const dto = new CreateProxmoxServerDto();
+    Object.assign(dto, {
+      name: 'pmg-token',
+      productType: 'pmg',
+      baseUrl: 'https://pmg.intern',
+      authMethod: 'token',
+      tokenId: 'root@pam!x',
+      tokenSecret: 'geheim',
+    });
+    const errors = await validate(dto);
+    expect(errors.length).toBeGreaterThan(0);
+  });
+
+  it('PMG + password bleibt gueltig', async () => {
+    const dto = new CreateProxmoxServerDto();
+    Object.assign(dto, PASSWORD_DTO);
+    const errors = await validate(dto);
+    expect(errors).toEqual([]);
+  });
+});
+
+describe('Ticket-Erneuerung bei password-Auth (Aufgabe 2, <behavior> — genau EIN zweiter Versuch)', () => {
+  afterEach(() => {
+    vi.restoreAllMocks();
+    vi.unstubAllGlobals();
+  });
+
+  it('erstes 401 loest genau eine erneute Anmeldung aus, danach gelingt die Abfrage', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', {
+      ...PASSWORD_DTO,
+      productType: 'pve',
+      baseUrl: 'https://pve.intern',
+    });
+
+    let loginCalls = 0;
+    let getCalls = 0;
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async (url: string) => {
+        if (url.endsWith('/access/ticket')) {
+          loginCalls++;
+          return new Response(JSON.stringify({ data: { ticket: `T${loginCalls}` } }), { status: 200 });
+        }
+        getCalls++;
+        if (getCalls === 1) return new Response('abgelaufen', { status: 401 });
+        return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+      }),
+    );
+
+    const result = await service.pollServer('tenant-a', (created as any).id);
+
+    expect(loginCalls).toBe(2);
+    expect(getCalls).toBe(2);
+    expect(result?.reachable).toBe(true);
+  });
+
+  it('ein zweites 401 bleibt errorKind zugang — kein dritter Versuch', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', {
+      ...PASSWORD_DTO,
+      productType: 'pve',
+      baseUrl: 'https://pve.intern',
+    });
+
+    let loginCalls = 0;
+    let getCalls = 0;
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async (url: string) => {
+        if (url.endsWith('/access/ticket')) {
+          loginCalls++;
+          return new Response(JSON.stringify({ data: { ticket: `T${loginCalls}` } }), { status: 200 });
+        }
+        getCalls++;
+        return new Response('abgelaufen', { status: 401 });
+      }),
+    );
+
+    const result = await service.pollServer('tenant-a', (created as any).id);
+
+    expect(loginCalls).toBe(2);
+    expect(getCalls).toBe(2);
+    expect(result?.reachable).toBe(false);
+    expect(result?.errorKind).toBe('zugang');
+  });
+});
+
+describe('forTenant bleibt Konvention auch mit Passwort-Zugang (D-08)', () => {
+  it('nutzt forTenant beim Anlegen', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    await service.createServer('tenant-a', PASSWORD_DTO);
+    expect(forTenant).toHaveBeenCalled();
+  });
+});

apps/api/src/proxmox/proxmox-client.service.ts

@@ -0,0 +1,230 @@
+import { Agent, fetch as undiciFetch } from 'undici';
+import type { ProxmoxErrorKind } from './proxmox.types';
+
+/**
+ * Der HTTP-Zugang dieses Moduls, und ausschliesslich lesend (D-01). Genau
+ * EINE oeffentliche Datenabruf-Funktion `proxmoxGet` — das Anfrageverfahren
+ * ist fest auf GET verdrahtet, es gibt dafuer keinen Parameter und kein
+ * Durchreichen von aussen. `proxmox-nur-lesen.spec.ts` (Aufgabe 2) zaehlt
+ * maschinell nach, dass dies im gesamten Modul die einzige Stelle ist, die
+ * ein Anfrageverfahren an `undiciFetch` uebergibt.
+ *
+ * Zwingend `undiciFetch` aus dem `undici`-Paket, NICHT das globale `fetch`:
+ * Nodes globales `fetch` ignoriert einen `Agent`-Dispatcher aus dem
+ * npm-Paket (andere Klasse) — gemessen und dokumentiert in
+ * `apps/api/src/favorites/icon-discovery.service.ts:33-40`. Wer hier aus
+ * Gewohnheit zum globalen `fetch` wechselt, bekommt keinen Fehler beim
+ * Kompilieren, sondern eine zur Laufzeit STILLSCHWEIGEND ignorierte Option
+ * — ein selbstsigniertes Zertifikat wuerde trotz `tlsRejectUnauthorized:
+ * false` weiter abgelehnt.
+ *
+ * Der Dispatcher wird JE AUFRUF aus dem `tlsRejectUnauthorized`-Feld GENAU
+ * DIESER Serverzeile gebaut (D-04, T-DHH-03): ist es wahr (Vorgabe), wird
+ * KEIN Dispatcher uebergeben — echte Zertifikatspruefung, der Normalweg.
+ * Ist es falsch, ein FRISCHER `new Agent({ connect: { rejectUnauthorized:
+ * false } } )` NUR fuer diesen einen Aufruf. Ausdruecklich KEINE
+ * Modulkonstante wie `LENIENT_TLS_AGENT` in `icon-discovery.service.ts`
+ * (die Ausnahme eines Servers darf nie auf einen zweiten wirken) und
+ * ausdruecklich KEINE Node-Umgebungsvariable, die mit `NODE_TLS_` beginnt.
+ *
+ * Keine SSRF-Adresspruefung wie `isPublicHttpUrl`: Proxmox-Server stehen
+ * per Definition im privaten Netz, eine solche Pruefung wuerde jede reale
+ * Adresse blockieren (T-DHH-02). Die Absicherung ist stattdessen, dass nur
+ * ein Administrator (`@Roles(ADMIN, SUPER_ADMIN)`) Adressen eintragen darf
+ * — siehe Bedrohungsmodell T-DHH-02 im Plan.
+ */
+
+/** 8 Sekunden — Proxmox-Server stehen im lokalen Netz, eine laengere Wartezeit deutet auf "nicht erreichbar". */
+const REQUEST_TIMEOUT_MS = 8000;
+
+/** Deckel fuer `errorDetail` — niemals mehr als das, und nie ein Geheimnis (T-DHH-01). */
+const ERROR_DETAIL_MAX_CHARS = 500;
+
+/**
+ * Bekannte Zertifikatsfehlerkennungen von Node/undici. Ein Treffer wird zu
+ * `errorKind: 'zertifikat'`; im Zweifel (keine dieser Kennungen erkannt)
+ * bleibt es bei `'netz'` — eine Verwechslung in die falsche Richtung waere
+ * hier schlimmer als ein zu vorsichtiges "nicht erreichbar" (Aufgabe 2 `<behavior>`).
+ */
+const CERTIFICATE_ERROR_CODES = new Set([
+  'DEPTH_ZERO_SELF_SIGNED_CERT',
+  'SELF_SIGNED_CERT_IN_CHAIN',
+  'CERT_HAS_EXPIRED',
+  'ERR_TLS_CERT_ALTNAME_INVALID',
+  'UNABLE_TO_VERIFY_LEAF_SIGNATURE',
+  'UNABLE_TO_GET_ISSUER_CERT_LOCALLY',
+  'CERT_UNTRUSTED',
+  'ERR_TLS_CERT_ALTNAME_INVALID_ALTERNATE',
+  'CERT_SIGNATURE_FAILURE',
+  'CERT_NOT_YET_VALID',
+]);
+
+export interface ProxmoxGetTarget {
+  baseUrl: string;
+  tlsRejectUnauthorized: boolean;
+  /** Fertige Kopfzeilen — gebaut ausschliesslich von `proxmox-auth.ts` (D-03). */
+  headers: Record<string, string>;
+}
+
+export interface ProxmoxGetResult {
+  ok: boolean;
+  status: number | null;
+  body: unknown;
+  errorKind: ProxmoxErrorKind | null;
+  errorDetail: string | null;
+}
+
+/**
+ * Nachsichtiges JSON-Parsen: eine Antwort, die kein JSON ist (HTML-
+ * Anmeldeseite, leerer Rumpf), fuehrt zu `{ ok: false }` — kein geworfener
+ * Parserfehler, kein Absturz (Aufgabe 2 `<behavior>`).
+ */
+export function parseJsonLenient(text: string): { ok: true; data: unknown } | { ok: false } {
+  if (!text || text.trim().length === 0) {
+    return { ok: false };
+  }
+  try {
+    return { ok: true, data: JSON.parse(text) };
+  } catch {
+    return { ok: false };
+  }
+}
+
+function isCertificateError(err: unknown): boolean {
+  const code = (err as { code?: unknown; cause?: { code?: unknown } })?.code;
+  const causeCode = (err as { cause?: { code?: unknown } })?.cause?.code;
+  if (typeof code === 'string' && CERTIFICATE_ERROR_CODES.has(code)) return true;
+  if (typeof causeCode === 'string' && CERTIFICATE_ERROR_CODES.has(causeCode)) return true;
+
+  const message = err instanceof Error ? err.message : String(err ?? '');
+  for (const known of CERTIFICATE_ERROR_CODES) {
+    if (message.includes(known)) return true;
+  }
+  return false;
+}
+
+/**
+ * Reine Fehler-Uebersetzung: liefert genau eine der sieben Werte aus
+ * `ProxmoxErrorKind`. `status` ist gesetzt, wenn Proxmox geantwortet hat;
+ * `thrownError` ist gesetzt, wenn der Aufruf selbst fehlgeschlagen ist
+ * (kein HTTP-Status, z. B. `ECONNREFUSED`/Timeout/DNS-Fehler).
+ *
+ * 401 -> 'zugang', 403 -> 'rechte', 404 -> 'antwortform' (falsche Adresse
+ * vermutet), 5xx -> 'server'. Ein geworfener Fehler ohne Antwort ist
+ * 'netz' — ausser die Fehlerkennung ist eindeutig eine Zertifikatskennung,
+ * dann 'zertifikat' (Aufgabe 2 `<behavior>`).
+ */
+export function classifyFailure(
+  status: number | null,
+  thrownError: unknown,
+): ProxmoxErrorKind {
+  if (status === null) {
+    if (thrownError !== null && thrownError !== undefined && isCertificateError(thrownError)) {
+      return 'zertifikat';
+    }
+    return 'netz';
+  }
+  if (status === 401) return 'zugang';
+  if (status === 403) return 'rechte';
+  if (status === 404) return 'antwortform';
+  if (status >= 500 && status < 600) return 'server';
+  return 'unbekannt';
+}
+
+/**
+ * Kurze, deutsche Ergaenzung aus Statuszahl und — falls vorhanden und JSON
+ * — dem `errors`-Feld der Proxmox-Antwort. Auf `ERROR_DETAIL_MAX_CHARS`
+ * gekuerzt; niemals die gesendete Kopfzeile, niemals ein Geheimnis
+ * (T-DHH-01).
+ */
+function buildHttpErrorDetail(status: number, bodyText: string): string {
+  let detail = `Proxmox antwortete mit Status ${status}`;
+  const parsed = parseJsonLenient(bodyText);
+  if (parsed.ok && parsed.data && typeof parsed.data === 'object' && 'errors' in parsed.data) {
+    try {
+      const errorsText = JSON.stringify((parsed.data as { errors: unknown }).errors);
+      detail += `: ${errorsText}`;
+    } catch {
+      /* errors-Feld liess sich nicht serialisieren — Statuszahl allein reicht */
+    }
+  }
+  return detail.slice(0, ERROR_DETAIL_MAX_CHARS);
+}
+
+function buildThrownErrorDetail(err: unknown): string {
+  const message = err instanceof Error ? err.message : String(err ?? 'unbekannter Fehler');
+  return `Verbindung fehlgeschlagen: ${message}`.slice(0, ERROR_DETAIL_MAX_CHARS);
+}
+
+/**
+ * Die einzige Datenabruf-Funktion dieses Moduls (D-01). Wirft nach aussen
+ * NICHTS — jeder Fehlerfall (Netz, Zertifikat, HTTP-Status, kein JSON)
+ * landet als Ergebniswert in `errorKind`/`errorDetail`, damit ein
+ * Aufrufer nie mit einem unbehandelten Wurf abbricht.
+ */
+export async function proxmoxGet(
+  target: ProxmoxGetTarget,
+  path: string,
+): Promise<ProxmoxGetResult> {
+  const dispatcher = target.tlsRejectUnauthorized
+    ? undefined // Normalweg: echte Zertifikatspruefung, kein Sonderfall
+    : new Agent({ connect: { rejectUnauthorized: false } }); // NUR fuer diesen einen Aufruf (D-04)
+
+  const controller = new AbortController();
+  const timeout = setTimeout(() => controller.abort(), REQUEST_TIMEOUT_MS);
+  const url = `${target.baseUrl.replace(/\/+$/, '')}${path}`;
+
+  try {
+    // KEIN `method`-Feld — GET ist der Grundwert von `fetch`/`undiciFetch`
+    // selbst, es gibt hierfuer keinen Parameter (D-01). `proxmox-nur-
+    // lesen.spec.ts` zaehlt Stellen, die ein Anfrageverfahren EXPLIZIT an
+    // `undiciFetch` uebergeben — die einzige solche Stelle im Modul ist
+    // `loginTicket` in `proxmox-auth.ts` (POST, Ticket-Anmeldung, D-01).
+    const response = await undiciFetch(url, {
+      dispatcher,
+      signal: controller.signal,
+      headers: target.headers,
+    });
+
+    const text = await response.text();
+
+    if (!response.ok) {
+      return {
+        ok: false,
+        status: response.status,
+        body: null,
+        errorKind: classifyFailure(response.status, null),
+        errorDetail: buildHttpErrorDetail(response.status, text),
+      };
+    }
+
+    const parsed = parseJsonLenient(text);
+    if (!parsed.ok) {
+      return {
+        ok: false,
+        status: response.status,
+        body: null,
+        errorKind: 'antwortform',
+        errorDetail: 'Die Antwort war kein JSON (z. B. eine Anmeldeseite oder ein leerer Rumpf).',
+      };
+    }
+
+    return {
+      ok: true,
+      status: response.status,
+      body: parsed.data,
+      errorKind: null,
+      errorDetail: null,
+    };
+  } catch (err) {
+    return {
+      ok: false,
+      status: null,
+      body: null,
+      errorKind: classifyFailure(null, err),
+      errorDetail: buildThrownErrorDetail(err),
+    };
+  } finally {
+    clearTimeout(timeout);
+  }
+}

apps/api/src/proxmox/proxmox-normalize.spec.ts

@@ -0,0 +1,287 @@
+import { describe, expect, it } from 'vitest';
+import {
+  listPbsDatastoreNames,
+  normalizePbs,
+  normalizePmg,
+  normalizePve,
+  readBool,
+  readList,
+  readNumber,
+  readText,
+} from './proxmox-normalize';
+
+describe('nachsichtige Leser (Aufgabe 3, <behavior>)', () => {
+  it('readNumber: Zahl, umwandelbare Zeichenkette, sonst null', () => {
+    expect(readNumber(42)).toBe(42);
+    expect(readNumber('42')).toBe(42);
+    expect(readNumber('0.37')).toBe(0.37);
+    expect(readNumber('nicht-umwandelbar')).toBeNull();
+    expect(readNumber(undefined)).toBeNull();
+    expect(readNumber(null)).toBeNull();
+    expect(readNumber(Number.NaN)).toBeNull();
+  });
+
+  it('readText: nichtleere Zeichenkette oder Zahl, sonst null', () => {
+    expect(readText('hallo')).toBe('hallo');
+    expect(readText(42)).toBe('42');
+    expect(readText('')).toBeNull();
+    expect(readText(null)).toBeNull();
+    expect(readText(undefined)).toBeNull();
+  });
+
+  it('readBool: boolesch oder gaengige Wahr/Falsch-Formen, sonst null', () => {
+    expect(readBool(true)).toBe(true);
+    expect(readBool('true')).toBe(true);
+    expect(readBool(1)).toBe(true);
+    expect(readBool(false)).toBe(false);
+    expect(readBool('false')).toBe(false);
+    expect(readBool('irgendwas')).toBeNull();
+  });
+
+  it('readList: alles, was kein Array ist, wird eine leere Liste', () => {
+    expect(readList([1, 2])).toEqual([1, 2]);
+    expect(readList('kein-array')).toEqual([]);
+    expect(readList(null)).toEqual([]);
+    expect(readList(undefined)).toEqual([]);
+    expect(readList({})).toEqual([]);
+  });
+});
+
+describe('normalizePve (Aufgabe 3, <behavior>)', () => {
+  it('Knotenzahl, laufende/gestoppte Gaeste, je Knoten Prozessorlast/Speicher, je Speicherort Belegung', () => {
+    const body = {
+      data: [
+        { type: 'node', node: 'pve1', cpu: 0.25, maxcpu: 8, mem: 4_000_000_000, maxmem: 16_000_000_000 },
+        { type: 'node', node: 'pve2', cpu: 0.1, maxcpu: 4, mem: 1_000_000_000, maxmem: 8_000_000_000 },
+        { type: 'qemu', node: 'pve1', status: 'running' },
+        { type: 'qemu', node: 'pve1', status: 'stopped' },
+        { type: 'lxc', node: 'pve2', status: 'running' },
+        { type: 'storage', node: 'pve1', storage: 'local-lvm', disk: 100, maxdisk: 500 },
+      ],
+    };
+
+    const { metrics, errorKind } = normalizePve(body);
+
+    expect(errorKind).toBeNull();
+    expect(metrics.nodeCount).toBe(2);
+    expect(metrics.guestsRunning).toBe(2);
+    expect(metrics.guestsStopped).toBe(1);
+    expect(metrics.nodes).toEqual([
+      { node: 'pve1', cpu: 0.25, maxcpu: 8, mem: 4_000_000_000, maxmem: 16_000_000_000 },
+      { node: 'pve2', cpu: 0.1, maxcpu: 4, mem: 1_000_000_000, maxmem: 8_000_000_000 },
+    ]);
+    expect(metrics.storages).toEqual([
+      { storage: 'local-lvm', node: 'pve1', disk: 100, maxdisk: 500 },
+    ]);
+  });
+
+  it('Feld fehlt -> null, nie 0/Wurf', () => {
+    const body = { data: [{ type: 'node', node: 'pve1' }] };
+    expect(() => normalizePve(body)).not.toThrow();
+    const { metrics } = normalizePve(body);
+    expect(metrics.nodes[0]).toEqual({ node: 'pve1', cpu: null, maxcpu: null, mem: null, maxmem: null });
+  });
+
+  it('Zahl kommt als Zeichenkette -> wird als Zahl gelesen', () => {
+    const body = { data: [{ type: 'node', node: 'pve1', cpu: '0.5', maxcpu: '4', mem: '100', maxmem: '200' }] };
+    const { metrics } = normalizePve(body);
+    expect(metrics.nodes[0]).toEqual({ node: 'pve1', cpu: 0.5, maxcpu: 4, mem: 100, maxmem: 200 });
+  });
+
+  it('Antwort ist HTML statt JSON-Objekt (hier: eine Zeichenkette) -> leeres Messwertobjekt, errorKind antwortform, kein Wurf', () => {
+    expect(() => normalizePve('<html>Anmeldeseite</html>')).not.toThrow();
+    const { metrics, errorKind } = normalizePve('<html>Anmeldeseite</html>');
+    expect(errorKind).toBe('antwortform');
+    expect(metrics).toEqual({
+      productType: 'pve',
+      nodeCount: 0,
+      guestsRunning: 0,
+      guestsStopped: 0,
+      nodes: [],
+      storages: [],
+    });
+  });
+
+  it('Antwort ist ein Array statt eines Objekts -> antwortform, kein Wurf', () => {
+    const { errorKind } = normalizePve([1, 2, 3]);
+    expect(errorKind).toBe('antwortform');
+  });
+
+  it('Antwort ist null -> antwortform, kein Wurf', () => {
+    const { errorKind } = normalizePve(null);
+    expect(errorKind).toBe('antwortform');
+  });
+});
+
+describe('normalizePbs (Aufgabe 3, <behavior>)', () => {
+  it('je Datenspeicher Gesamt/Belegt/Frei, letzter Sicherungszeitpunkt und letztes Pruefergebnis', () => {
+    const usage = {
+      data: [{ store: 'backup-store', total: 1000, used: 400, avail: 600 }],
+    };
+    const snapshotsByStore = {
+      'backup-store': {
+        data: [
+          { 'backup-time': 1000, verification: { state: 'ok' } },
+          { 'backup-time': 2000, verification: { state: 'failed' } },
+        ],
+      },
+    };
+
+    const { metrics, errorKind } = normalizePbs(usage, snapshotsByStore);
+
+    expect(errorKind).toBeNull();
+    expect(metrics.datastores).toEqual([
+      {
+        name: 'backup-store',
+        total: 1000,
+        used: 400,
+        free: 600,
+        lastBackupAt: 2000,
+        lastVerifyState: 'failed',
+      },
+    ]);
+  });
+
+  it('ein Datenspeicher ohne Sicherungen ergibt null (Frontend zeigt "noch keine Sicherung") und keinen Fehler', () => {
+    const usage = { data: [{ store: 'leer', total: 10, used: 0, avail: 10 }] };
+    const { metrics, errorKind } = normalizePbs(usage, { leer: { data: [] } });
+    expect(errorKind).toBeNull();
+    expect(metrics.datastores[0]).toMatchObject({ lastBackupAt: null, lastVerifyState: null });
+  });
+
+  it('Feld fehlt -> null, nie 0/Wurf', () => {
+    const usage = { data: [{ store: 'x' }] };
+    expect(() => normalizePbs(usage, {})).not.toThrow();
+    const { metrics } = normalizePbs(usage, {});
+    expect(metrics.datastores[0]).toEqual({
+      name: 'x',
+      total: null,
+      used: null,
+      free: null,
+      lastBackupAt: null,
+      lastVerifyState: null,
+    });
+  });
+
+  it('Zahl kommt als Zeichenkette -> wird als Zahl gelesen', () => {
+    const usage = { data: [{ store: 'x', total: '1000', used: '400', avail: '600' }] };
+    const { metrics } = normalizePbs(usage, {});
+    expect(metrics.datastores[0]).toMatchObject({ total: 1000, used: 400, free: 600 });
+  });
+
+  it('Antwort ist HTML statt JSON -> leeres Messwertobjekt, errorKind antwortform, kein Wurf', () => {
+    expect(() => normalizePbs('<html></html>', {})).not.toThrow();
+    const { metrics, errorKind } = normalizePbs('<html></html>', {});
+    expect(errorKind).toBe('antwortform');
+    expect(metrics.datastores).toEqual([]);
+  });
+
+  it('ein PBS-Server mit vielen Datenspeichern: listPbsDatastoreNames liefert alle Namen (Deckel lebt in proxmox.service.ts)', () => {
+    const usage = { data: Array.from({ length: 15 }, (_, i) => ({ store: `store-${i}` })) };
+    expect(listPbsDatastoreNames(usage)).toHaveLength(15);
+  });
+});
+
+describe('normalizePmg (Aufgabe 3, <behavior>)', () => {
+  it('Tageszahlen eingehend, ausgehend, Spam, Viren', () => {
+    const body = {
+      data: {
+        count_in: 100,
+        count_out: 50,
+        spamcount_in: 10,
+        spamcount_out: 2,
+        viruscount_in: 1,
+        viruscount_out: 0,
+      },
+    };
+    const { metrics, errorKind } = normalizePmg(body);
+    expect(errorKind).toBeNull();
+    expect(metrics).toEqual({
+      productType: 'pmg',
+      countIn: 100,
+      countOut: 50,
+      spamCount: 12,
+      virusCount: 1,
+    });
+  });
+
+  it('Feld fehlt -> null, nie 0/Wurf', () => {
+    const body = { data: {} };
+    expect(() => normalizePmg(body)).not.toThrow();
+    const { metrics } = normalizePmg(body);
+    expect(metrics).toEqual({
+      productType: 'pmg',
+      countIn: null,
+      countOut: null,
+      spamCount: null,
+      virusCount: null,
+    });
+  });
+
+  it('Zahl kommt als Zeichenkette -> wird als Zahl gelesen', () => {
+    const body = { data: { count_in: '100', count_out: '50' } };
+    const { metrics } = normalizePmg(body);
+    expect(metrics.countIn).toBe(100);
+    expect(metrics.countOut).toBe(50);
+  });
+
+  it('Antwort ist HTML statt JSON -> leeres Messwertobjekt, errorKind antwortform, kein Wurf', () => {
+    expect(() => normalizePmg('<html></html>')).not.toThrow();
+    const { metrics, errorKind } = normalizePmg('<html></html>');
+    expect(errorKind).toBe('antwortform');
+    expect(metrics).toEqual({
+      productType: 'pmg',
+      countIn: null,
+      countOut: null,
+      spamCount: null,
+      virusCount: null,
+    });
+  });
+
+  it('nur eine Haelfte vorhanden -> null (Spam, nur spamcount_in)', () => {
+    const body = { data: { spamcount_in: 10 } };
+    const { metrics } = normalizePmg(body);
+    expect(metrics.spamCount).toBeNull();
+  });
+
+  it('nur eine Haelfte vorhanden -> null (Spam, nur spamcount_out)', () => {
+    const body = { data: { spamcount_out: 2 } };
+    const { metrics } = normalizePmg(body);
+    expect(metrics.spamCount).toBeNull();
+  });
+
+  it('nur eine Haelfte vorhanden -> null (Viren, nur viruscount_in)', () => {
+    const body = { data: { viruscount_in: 1 } };
+    const { metrics } = normalizePmg(body);
+    expect(metrics.virusCount).toBeNull();
+  });
+
+  it('nur eine Haelfte vorhanden -> null (Viren, nur viruscount_out)', () => {
+    const body = { data: { viruscount_out: 3 } };
+    const { metrics } = normalizePmg(body);
+    expect(metrics.virusCount).toBeNull();
+  });
+
+  it('eine Haelfte ist nicht lesbar -> null (Spam, spamcount_out ist Text)', () => {
+    const body = { data: { spamcount_in: 10, spamcount_out: 'abc' } };
+    const { metrics } = normalizePmg(body);
+    expect(metrics.spamCount).toBeNull();
+  });
+
+  it('Unabhaengigkeit der Paare: Spam unvollstaendig, Viren vollstaendig -> spamCount null, virusCount 1, countIn/countOut unberuehrt', () => {
+    const body = {
+      data: {
+        count_in: 100,
+        count_out: 50,
+        spamcount_in: 10,
+        viruscount_in: 1,
+        viruscount_out: 0,
+      },
+    };
+    const { metrics } = normalizePmg(body);
+    expect(metrics.spamCount).toBeNull();
+    expect(metrics.virusCount).toBe(1);
+    expect(metrics.countIn).toBe(100);
+    expect(metrics.countOut).toBe(50);
+  });
+});

apps/api/src/proxmox/proxmox-normalize.ts

@@ -0,0 +1,273 @@
+import type {
+  ProxmoxErrorKind,
+  ProxmoxPbsDatastoreMetric,
+  ProxmoxPbsMetrics,
+  ProxmoxPmgMetrics,
+  ProxmoxPveMetrics,
+  ProxmoxPveNodeMetric,
+} from './proxmox.types';
+
+/**
+ * Nachsichtige Leser als reine Funktionen ohne Datenbankbezug — der
+ * gesamte Umgang mit einer unerwarteten Form ist ein Rueckgabewert
+ * (`null`/leere Liste), NIE eine Ausnahme. Der Nutzer prueft dieses Modul
+ * ausschliesslich an seinen eigenen, echten Servern; ein Wurf wuerde ihm
+ * eine leere Seite zeigen statt eines ehrlichen "unbekannt".
+ */
+
+export function readNumber(value: unknown): number | null {
+  if (typeof value === 'number' && Number.isFinite(value)) return value;
+  if (typeof value === 'string' && value.trim() !== '') {
+    const parsed = Number(value);
+    if (Number.isFinite(parsed)) return parsed;
+  }
+  return null;
+}
+
+export function readText(value: unknown): string | null {
+  if (typeof value === 'string' && value.trim() !== '') return value;
+  if (typeof value === 'number' && Number.isFinite(value)) return String(value);
+  return null;
+}
+
+export function readBool(value: unknown): boolean | null {
+  if (typeof value === 'boolean') return value;
+  if (value === 'true' || value === 1 || value === '1') return true;
+  if (value === 'false' || value === 0 || value === '0') return false;
+  return null;
+}
+
+/** Liefert bei allem, was kein Array ist, eine LEERE Liste — nie einen Wurf. */
+export function readList(value: unknown): unknown[] {
+  return Array.isArray(value) ? value : [];
+}
+
+function isRecord(value: unknown): value is Record<string, unknown> {
+  return value !== null && typeof value === 'object' && !Array.isArray(value);
+}
+
+/** Nimmt den ersten VORHANDENEN Schluessel einer Namensliste (mehrere plausible Namen, in Reihenfolge). */
+function readFirstPresent(record: Record<string, unknown>, keys: readonly string[]): unknown {
+  for (const key of keys) {
+    if (key in record && record[key] !== undefined) return record[key];
+  }
+  return undefined;
+}
+
+export interface NormalizeResult<TMetrics> {
+  metrics: TMetrics;
+  errorKind: ProxmoxErrorKind | null;
+}
+
+// ---------------------------------------------------------------------------
+// PVE — /api2/json/cluster/resources
+// ---------------------------------------------------------------------------
+
+function emptyPveMetrics(): ProxmoxPveMetrics {
+  return {
+    productType: 'pve',
+    nodeCount: 0,
+    guestsRunning: 0,
+    guestsStopped: 0,
+    nodes: [],
+    storages: [],
+  };
+}
+
+export function normalizePve(body: unknown): NormalizeResult<ProxmoxPveMetrics> {
+  if (!isRecord(body)) {
+    // Ganze Antwort ist Zeichenkette/Array/null/leer — leeres Messwertobjekt, kein Wurf.
+    return { metrics: emptyPveMetrics(), errorKind: 'antwortform' };
+  }
+
+  const list = readList(body.data);
+  const isEntry = (e: unknown): e is Record<string, unknown> => isRecord(e);
+
+  const nodeEntries = list.filter((e) => isEntry(e) && e.type === 'node') as Record<string, unknown>[];
+  const guestEntries = list.filter(
+    (e) => isEntry(e) && (e.type === 'qemu' || e.type === 'lxc'),
+  ) as Record<string, unknown>[];
+  const storageEntries = list.filter((e) => isEntry(e) && e.type === 'storage') as Record<
+    string,
+    unknown
+  >[];
+  const running = guestEntries.filter((g) => g.status === 'running').length;
+
+  const nodes: ProxmoxPveNodeMetric[] = nodeEntries.map((n) => ({
+    node: readText(n.node) ?? 'unbekannt',
+    cpu: readNumber(n.cpu),
+    maxcpu: readNumber(n.maxcpu),
+    mem: readNumber(n.mem),
+    maxmem: readNumber(n.maxmem),
+  }));
+
+  const storages = storageEntries.map((s) => ({
+    storage: readText(s.storage) ?? 'unbekannt',
+    node: readText(s.node) ?? 'unbekannt',
+    disk: readNumber(s.disk),
+    maxdisk: readNumber(s.maxdisk),
+  }));
+
+  return {
+    metrics: {
+      productType: 'pve',
+      nodeCount: nodeEntries.length,
+      guestsRunning: running,
+      guestsStopped: guestEntries.length - running,
+      nodes,
+      storages,
+    },
+    errorKind: null,
+  };
+}
+
+// ---------------------------------------------------------------------------
+// PBS — /api2/json/status/datastore-usage + je Datenspeicher .../snapshots
+// ---------------------------------------------------------------------------
+
+/**
+ * Feldnamen der PBS-Belegungsabfrage sind aus der Recherche nur ABGELEITET
+ * (Annahme A3, Forenbeleg, kein Primaerbeleg) — GENAU DIESE Konstante ist
+ * anzupassen, wenn ein echter PBS-Server andere Namen liefert.
+ */
+const PBS_USAGE_FIELDS = {
+  store: ['store', 'name'],
+  total: ['total'],
+  used: ['used'],
+  free: ['avail', 'free'],
+} as const;
+
+/** Dieselbe Annahme A3 fuer die Sicherungsliste eines Datenspeichers. */
+const PBS_SNAPSHOT_FIELDS = {
+  backupTime: ['backup-time', 'backupTime'],
+  verifyState: ['verification', 'verify-state', 'verifyState'],
+} as const;
+
+function emptyPbsMetrics(): ProxmoxPbsMetrics {
+  return { productType: 'pbs', datastores: [] };
+}
+
+/**
+ * Nur die Datenspeichernamen aus der Belegungsantwort — fuer den Deckel
+ * der Folgeabfragen in `proxmox.service.ts` (Aufgabe 3, hoechstens 10 je
+ * Durchlauf). Dieselbe Feldnamen-Konstante wie `normalizePbs`, damit es
+ * EINE Stelle zum Nachziehen gibt, nicht zwei.
+ */
+export function listPbsDatastoreNames(usage: unknown): string[] {
+  if (!isRecord(usage)) return [];
+  return readList(usage.data)
+    .filter(isRecord)
+    .map((entry) => readText(readFirstPresent(entry, PBS_USAGE_FIELDS.store)))
+    .filter((name): name is string => name !== null);
+}
+
+function readVerifyState(value: unknown): string | null {
+  // `verification` kann selbst ein Objekt sein ({ state: 'ok', ... }) oder
+  // direkt eine Zeichenkette — beide Formen kommen in Forenbeispielen vor.
+  if (isRecord(value)) {
+    const state = readFirstPresent(value, ['state', 'result']);
+    return readText(state);
+  }
+  return readText(value);
+}
+
+/**
+ * `usage` ist die Antwort von `/status/datastore-usage`; `snapshotsByStore`
+ * bildet je Datenspeichernamen die (bereits abgefragte) Rohantwort seiner
+ * `/admin/datastore/{store}/snapshots`-Abfrage ab — `undefined`, wenn der
+ * Deckel von hoechstens 10 Folgeabfragen je Durchlauf (`proxmox.service.ts`)
+ * diesen Speicher nicht mehr erreicht hat.
+ */
+export function normalizePbs(
+  usage: unknown,
+  snapshotsByStore: Record<string, unknown>,
+): NormalizeResult<ProxmoxPbsMetrics> {
+  if (!isRecord(usage)) {
+    return { metrics: emptyPbsMetrics(), errorKind: 'antwortform' };
+  }
+
+  const entries = readList(usage.data).filter(isRecord);
+
+  const datastores: ProxmoxPbsDatastoreMetric[] = entries.map((entry) => {
+    const name = readText(readFirstPresent(entry, PBS_USAGE_FIELDS.store)) ?? 'unbekannt';
+    const snapshotsBody = snapshotsByStore[name];
+    const snapshotList = isRecord(snapshotsBody) ? readList(snapshotsBody.data).filter(isRecord) : [];
+
+    let lastBackupAt: number | null = null;
+    let lastVerifyState: string | null = null;
+    for (const snapshot of snapshotList) {
+      const backupTime = readNumber(readFirstPresent(snapshot, PBS_SNAPSHOT_FIELDS.backupTime));
+      if (backupTime !== null && (lastBackupAt === null || backupTime > lastBackupAt)) {
+        lastBackupAt = backupTime;
+        lastVerifyState = readVerifyState(readFirstPresent(snapshot, PBS_SNAPSHOT_FIELDS.verifyState));
+      }
+    }
+    // Kein Eintrag in der Liste (leer, aber kein Fehler): "noch keine
+    // Sicherung" — Frontend (Aufgabe 6) unterscheidet das ueber
+    // `snapshotList.length === 0`, hier bleibt der Wert ehrlich `null`.
+
+    return {
+      name,
+      total: readNumber(readFirstPresent(entry, PBS_USAGE_FIELDS.total)),
+      used: readNumber(readFirstPresent(entry, PBS_USAGE_FIELDS.used)),
+      free: readNumber(readFirstPresent(entry, PBS_USAGE_FIELDS.free)),
+      lastBackupAt,
+      lastVerifyState,
+    };
+  });
+
+  return { metrics: { productType: 'pbs', datastores }, errorKind: null };
+}
+
+// ---------------------------------------------------------------------------
+// PMG — /api2/json/statistics/mail
+// ---------------------------------------------------------------------------
+
+/** Annahme A5 der Recherche — abgeleitet aus `pmgsh`-Community-Belegen, nicht aus Primaerdoku. */
+const PMG_STATS_FIELDS = {
+  countIn: ['count_in'],
+  countOut: ['count_out'],
+  spamIn: ['spamcount_in'],
+  spamOut: ['spamcount_out'],
+  virusIn: ['viruscount_in'],
+  virusOut: ['viruscount_out'],
+} as const;
+
+function emptyPmgMetrics(): ProxmoxPmgMetrics {
+  return { productType: 'pmg', countIn: null, countOut: null, spamCount: null, virusCount: null };
+}
+
+// Eine Tageszahl aus zwei Teilwerten ist nur dann bekannt, wenn beide
+// Teilwerte bekannt sind; eine Teilsumme saehe vollstaendig aus, waere
+// aber still falsch (Abnahmebefund 260923-dhh, Wahrheit 7; PMG-Feldnamen
+// sind nur Annahme A5).
+function sumOrNull(a: number | null, b: number | null): number | null {
+  if (a === null || b === null) return null;
+  return a + b;
+}
+
+export function normalizePmg(body: unknown): NormalizeResult<ProxmoxPmgMetrics> {
+  if (!isRecord(body)) {
+    return { metrics: emptyPmgMetrics(), errorKind: 'antwortform' };
+  }
+
+  const stats = isRecord(body.data) ? body.data : {};
+
+  const countIn = readNumber(readFirstPresent(stats, PMG_STATS_FIELDS.countIn));
+  const countOut = readNumber(readFirstPresent(stats, PMG_STATS_FIELDS.countOut));
+  const spamIn = readNumber(readFirstPresent(stats, PMG_STATS_FIELDS.spamIn));
+  const spamOut = readNumber(readFirstPresent(stats, PMG_STATS_FIELDS.spamOut));
+  const virusIn = readNumber(readFirstPresent(stats, PMG_STATS_FIELDS.virusIn));
+  const virusOut = readNumber(readFirstPresent(stats, PMG_STATS_FIELDS.virusOut));
+
+  return {
+    metrics: {
+      productType: 'pmg',
+      countIn,
+      countOut,
+      spamCount: sumOrNull(spamIn, spamOut),
+      virusCount: sumOrNull(virusIn, virusOut),
+    },
+    errorKind: null,
+  };
+}

apps/api/src/proxmox/proxmox-nur-lesen.spec.ts

@@ -0,0 +1,187 @@
+import { readFileSync, readdirSync } from 'node:fs';
+import { basename, join } from 'node:path';
+import { describe, expect, it } from 'vitest';
+
+/**
+ * Der maschinelle Riegel zu D-01 ("nur beobachten") — gebaut nach dem
+ * Vorbild von `apps/api/src/prisma/rls-access-inventory.spec.ts`: der Test
+ * liest den Quelltext, nicht das Laufzeitverhalten. Zwei Aussagen:
+ *
+ * 1. Die Summe der Stellen, die ein Anfrageverfahren EXPLIZIT an
+ *    `undiciFetch` uebergeben (`method: '...'`), ist genau
+ *    `EXPECTED_METHOD_PASSING_CALLS` und liegt in `proxmox-auth.ts`
+ *    (die Ticket-Anmeldung, `loginTicket` — die einzige nicht-lesende
+ *    Anfrage im gesamten Modul, D-01). `proxmoxGet` in
+ *    `proxmox-client.service.ts` uebergibt bewusst KEIN `method`-Feld:
+ *    GET ist der Grundwert von `fetch` selbst.
+ * 2. Jeder gegen einen Proxmox-API-Pfad (`/api2/json/...`) gebauter Aufruf
+ *    ausser der Ticket-Anmeldung laeuft ueber `proxmoxGet(...)`.
+ *
+ * Die erwartete Zahl steht als benannte Konstante mit ausgeschriebener
+ * Begruendung — eine spaetere Erhoehung erzwingt eine bewusste
+ * Entscheidung, statt unbemerkt durchzurutschen (T-DHH-07).
+ */
+
+/**
+ * GENAU EIN Aufruf darf im gesamten Modul ein Anfrageverfahren explizit an
+ * `undiciFetch` uebergeben: `loginTicket()` in `proxmox-auth.ts`
+ * (`method: 'POST'`, Ticket-Anmeldung). Jede weitere Stelle waere ein neuer,
+ * bislang unbedachter veraendernder Weg gegen Proxmox — T-DHH-07.
+ */
+const EXPECTED_METHOD_PASSING_CALLS = 1;
+const EXPECTED_METHOD_PASSING_FILE = 'proxmox-auth.ts';
+
+const PROXMOX_SRC_DIR = join(__dirname);
+
+function listTsFiles(dir: string): string[] {
+  const out: string[] = [];
+  for (const entry of readdirSync(dir, { withFileTypes: true })) {
+    const full = join(dir, entry.name);
+    if (entry.isDirectory()) {
+      out.push(...listTsFiles(full));
+    } else if (entry.isFile() && entry.name.endsWith('.ts')) {
+      out.push(full);
+    }
+  }
+  return out;
+}
+
+/** Entfernt Zeilen- und Blockkommentare — Vorbild `rls-access-inventory.spec.ts`. */
+function stripComments(source: string): string {
+  return source
+    .replace(/\/\*[\s\S]*?\*\//g, '')
+    .split('\n')
+    .filter((line) => !line.trim().startsWith('//'))
+    .join('\n');
+}
+
+/**
+ * Entfernt zusaetzlich Zeichenkettenliterale (nach dem Kommentar-Entfernen)
+ * — fuer Testdateien, damit eine erfundene Testkonstante wie
+ * `'https://x/api2/json/...'` in einer `expect(...)`-Zeile oder ein
+ * mockierter Antwortkoerper nicht als Fundstelle zaehlt (Plan-Vorgabe:
+ * "entfernt vor dem Zaehlen Kommentarzeilen und Zeichenkettenliterale aus
+ * Testdateien").
+ */
+function stripStringLiterals(source: string): string {
+  return source
+    .replace(/`(?:[^`\\]|\\.)*`/g, '``')
+    .replace(/"(?:[^"\\]|\\.)*"/g, '""')
+    .replace(/'(?:[^'\\]|\\.)*'/g, "''");
+}
+
+interface CallSpan {
+  start: number;
+  end: number;
+}
+
+/** Sammelt Argumentbereiche aller Aufrufe `calleeName(...)` per Klammertiefe. */
+function collectCallArgSpans(text: string, calleeName: string): CallSpan[] {
+  const spans: CallSpan[] = [];
+  const re = new RegExp(`\\b${calleeName}\\(`, 'g');
+  let m: RegExpExecArray | null;
+  // biome-ignore lint/suspicious/noAssignInExpressions: Standard-Iterationsform der Nachbardatei rls-access-inventory.spec.ts
+  while ((m = re.exec(text))) {
+    const openIdx = re.lastIndex - 1;
+    let depth = 0;
+    let i = openIdx;
+    for (; i < text.length; i++) {
+      if (text[i] === '(') depth++;
+      else if (text[i] === ')') {
+        depth--;
+        if (depth === 0) break;
+      }
+    }
+    spans.push({ start: openIdx, end: i });
+  }
+  return spans;
+}
+
+/** Zaehlt Stellen, die `method:` innerhalb eines `undiciFetch(...)`-Aufrufs uebergeben. */
+function countMethodPassingCalls(text: string): number {
+  let count = 0;
+  const re = /undiciFetch\(/g;
+  let m: RegExpExecArray | null;
+  // biome-ignore lint/suspicious/noAssignInExpressions: s.o.
+  while ((m = re.exec(text))) {
+    const openIdx = re.lastIndex - 1;
+    let depth = 0;
+    let i = openIdx;
+    for (; i < text.length; i++) {
+      if (text[i] === '(') depth++;
+      else if (text[i] === ')') {
+        depth--;
+        if (depth === 0) break;
+      }
+    }
+    const argsText = text.slice(openIdx, i + 1);
+    if (/\bmethod\s*:/.test(argsText)) count++;
+  }
+  return count;
+}
+
+/**
+ * Aufrufformen, deren Argumentbereich einen Proxmox-Pfad tragen darf:
+ * `proxmoxGet` selbst, UND `getWithRetry` — der private Umschlag in
+ * `proxmox.service.ts` (Aufgabe 2/3, Ticket-Erneuerung), der seinerseits
+ * ausschliesslich `proxmoxGet` ruft (durch dieselbe erste Aussage dieses
+ * Riegels abgesichert: keine zweite `undiciFetch`-Methodenstelle in dieser
+ * Datei).
+ */
+const ALLOWED_PATH_CALLEES = ['proxmoxGet', 'getWithRetry'] as const;
+
+/** Fundstellen eines Proxmox-API-Pfads ausserhalb einer erlaubten Aufrufform. */
+function findApiPathViolations(fileName: string, text: string): string[] {
+  if (fileName === 'proxmox-auth.ts') {
+    // Die Ticket-Anmeldung ist die eine dokumentierte Ausnahme (D-01).
+    return [];
+  }
+  const allowedSpans = ALLOWED_PATH_CALLEES.flatMap((callee) => collectCallArgSpans(text, callee));
+  const violations: string[] = [];
+  const pathRe = /\/api2\/json\/[A-Za-z0-9/{}_.-]*/g;
+  let m: RegExpExecArray | null;
+  // biome-ignore lint/suspicious/noAssignInExpressions: s.o.
+  while ((m = pathRe.exec(text))) {
+    const idx = m.index;
+    const insideAllowedCall = allowedSpans.some((s) => idx >= s.start && idx <= s.end);
+    if (!insideAllowedCall) {
+      violations.push(`${fileName}@${idx}: ${m[0]}`);
+    }
+  }
+  return violations;
+}
+
+describe('proxmox-nur-lesen (D-01, T-DHH-07) — der maschinelle Riegel', () => {
+  const files = listTsFiles(PROXMOX_SRC_DIR);
+
+  it(`genau ${EXPECTED_METHOD_PASSING_CALLS} Stelle uebergibt ein Anfrageverfahren an undiciFetch, in ${EXPECTED_METHOD_PASSING_FILE}`, () => {
+    const perFile = files.map((file) => {
+      const raw = readFileSync(file, 'utf-8');
+      const isTest = file.endsWith('.spec.ts');
+      const cleaned = isTest ? stripStringLiterals(stripComments(raw)) : stripComments(raw);
+      return { file: basename(file), count: countMethodPassingCalls(cleaned) };
+    });
+
+    const total = perFile.reduce((sum, f) => sum + f.count, 0);
+    const filesWithCalls = perFile.filter((f) => f.count > 0).map((f) => f.file);
+
+    expect(total, `Gefundene Stellen: ${JSON.stringify(perFile.filter((f) => f.count > 0))}`).toBe(
+      EXPECTED_METHOD_PASSING_CALLS,
+    );
+    expect(filesWithCalls).toEqual([EXPECTED_METHOD_PASSING_FILE]);
+  });
+
+  it('jeder gegen einen Proxmox-Pfad gebaute Aufruf ausser der Ticket-Anmeldung laeuft ueber proxmoxGet', () => {
+    // Nur Produktionsdateien bauen tatsaechlich Aufrufe — Testdateien
+    // enthalten denselben Pfadtext nur als erwarteten Wert in `expect(...)`,
+    // das ist kein "gebauter Aufruf" im Sinn dieser Aussage.
+    const productionFiles = files.filter((file) => !file.endsWith('.spec.ts'));
+    const violations = productionFiles.flatMap((file) => {
+      const raw = readFileSync(file, 'utf-8');
+      const cleaned = stripComments(raw); // Pfad-Texte bleiben erhalten — nur Kommentare raus
+      return findApiPathViolations(basename(file), cleaned);
+    });
+
+    expect(violations).toEqual([]);
+  });
+});

apps/api/src/proxmox/proxmox-scheduler.service.spec.ts

@@ -0,0 +1,210 @@
+import { afterEach, describe, expect, it, vi } from 'vitest';
+import { ProxmoxSchedulerService } from './proxmox-scheduler.service';
+
+/**
+ * ProxmoxSchedulerService.spec (Aufgabe 4) — Vorbild
+ * `dkv-scheduler.service.spec.ts`: echte Fake-Registry (Map-basiert,
+ * `getCronJob` wirft bei Unbekannt wie `@nestjs/schedule`), ECHTES `cron`
+ * (Peer von `@nestjs/schedule`) — `cronTime.source` und `fireOnTick()`
+ * sind die beobachtbaren Eigenschaften eines Auftrags.
+ */
+
+function makeFakeRegistry() {
+  // biome-ignore lint/suspicious/noExplicitAny: Test-Attrappe
+  const jobs = new Map<string, any>();
+  return {
+    __jobs: jobs,
+    addCronJob: vi.fn((name: string, job: any) => {
+      if (jobs.has(name)) throw new Error(`Cron Job with the given name (${name}) already exists.`);
+      jobs.set(name, job);
+    }),
+    getCronJob: vi.fn((name: string) => {
+      const job = jobs.get(name);
+      if (!job) throw new Error(`No Cron Job was found with the given name (${name}).`);
+      return job;
+    }),
+    deleteCronJob: vi.fn((name: string) => {
+      const job = jobs.get(name);
+      if (!job) throw new Error(`No Cron Job was found with the given name (${name}).`);
+      jobs.delete(name);
+    }),
+    getCronJobs: vi.fn(() => jobs),
+  };
+}
+
+interface FakeServerRow {
+  id: string;
+  tenantId: string;
+  pollIntervalMin: number;
+  isActive: boolean;
+}
+
+function makeFakeProxmoxService(
+  servers: FakeServerRow[] | Error,
+  options: { pollShouldThrowFor?: string[] } = {},
+) {
+  const polledServerIds: string[] = [];
+  return {
+    loadActiveServersForScheduler: vi.fn(async () => {
+      if (servers instanceof Error) throw servers;
+      return servers.filter((s) => s.isActive).map((s) => ({
+        id: s.id,
+        tenantId: s.tenantId,
+        pollIntervalMin: s.pollIntervalMin,
+      }));
+    }),
+    loadActiveServersForTenantScheduling: vi.fn(async (tenantId: string) => {
+      if (servers instanceof Error) return [];
+      return servers
+        .filter((s) => s.isActive && s.tenantId === tenantId)
+        .map((s) => ({ pollIntervalMin: s.pollIntervalMin }));
+    }),
+    listActiveServerIdsForTenant: vi.fn(async (tenantId: string) => {
+      if (servers instanceof Error) return [];
+      return servers.filter((s) => s.isActive && s.tenantId === tenantId).map((s) => s.id);
+    }),
+    pollServer: vi.fn(async (_tenantId: string, serverId: string) => {
+      polledServerIds.push(serverId);
+      if (options.pollShouldThrowFor?.includes(serverId)) {
+        throw new Error(`poll boom for ${serverId}`);
+      }
+      return { reachable: true, errorKind: null, errorDetail: null, metrics: null, rawSample: null };
+    }),
+    __polledServerIds: polledServerIds,
+  };
+}
+
+function makeScheduler(
+  servers: FakeServerRow[] | Error,
+  options: { pollShouldThrowFor?: string[] } = {},
+) {
+  const registry = makeFakeRegistry();
+  const proxmoxService = makeFakeProxmoxService(servers, options);
+  const scheduler = new ProxmoxSchedulerService(registry as any, proxmoxService as any);
+  const logSpy = vi.spyOn((scheduler as any).logger, 'log').mockImplementation(() => undefined);
+  const errorSpy = vi.spyOn((scheduler as any).logger, 'error').mockImplementation(() => undefined);
+  return { registry, proxmoxService, scheduler, logSpy, errorSpy };
+}
+
+describe('ProxmoxSchedulerService — ein Auftrag je Mandant (Aufgabe 4, <behavior>)', () => {
+  const registries: ReturnType<typeof makeFakeRegistry>[] = [];
+
+  afterEach(() => {
+    for (const registry of registries) {
+      for (const job of registry.__jobs.values()) job.stop();
+      registry.__jobs.clear();
+    }
+    registries.length = 0;
+    vi.restoreAllMocks();
+  });
+
+  it('Beim Start registriert der Planer je Mandant mit mindestens einem aktiven Server genau einen Auftrag unter proxmox-poll:<tenantId>', async () => {
+    const { registry, scheduler } = makeScheduler([
+      { id: 's1', tenantId: 't1', pollIntervalMin: 15, isActive: true },
+    ]);
+    registries.push(registry);
+
+    await scheduler.onApplicationBootstrap();
+
+    expect([...registry.__jobs.keys()]).toEqual(['proxmox-poll:t1']);
+    expect(registry.__jobs.get('proxmox-poll:t1').cronTime.source).toBe('*/15 * * * *');
+  });
+
+  it('Das Abfrageintervall eines Mandanten ist das KLEINSTE pollIntervalMin seiner aktiven Server', async () => {
+    const { registry, scheduler } = makeScheduler([
+      { id: 's1', tenantId: 't1', pollIntervalMin: 30, isActive: true },
+      { id: 's2', tenantId: 't1', pollIntervalMin: 5, isActive: true },
+    ]);
+    registries.push(registry);
+
+    await scheduler.onApplicationBootstrap();
+
+    expect(registry.__jobs.get('proxmox-poll:t1').cronTime.source).toBe('*/5 * * * *');
+  });
+
+  it('Ein zweiter Mandant verdraengt den Auftrag des ersten nicht — beide Auftraege bestehen nebeneinander', async () => {
+    const { registry, scheduler } = makeScheduler([
+      { id: 's1', tenantId: 't1', pollIntervalMin: 15, isActive: true },
+      { id: 's2', tenantId: 't2', pollIntervalMin: 10, isActive: true },
+    ]);
+    registries.push(registry);
+
+    await scheduler.onApplicationBootstrap();
+
+    expect(new Set(registry.__jobs.keys())).toEqual(new Set(['proxmox-poll:t1', 'proxmox-poll:t2']));
+  });
+
+  it('Keine aktiven Server bedeutet: kein Auftrag, ein Protokolleintrag, kein Fehler, nichts geloescht', async () => {
+    const { registry, scheduler, logSpy, errorSpy } = makeScheduler([]);
+    registries.push(registry);
+
+    await scheduler.onApplicationBootstrap();
+
+    expect(registry.__jobs.size).toBe(0);
+    expect(logSpy).toHaveBeenCalled();
+    expect(errorSpy).not.toHaveBeenCalled();
+  });
+
+  it('Ein Fehler beim Start wird gefangen und protokolliert, nie weitergeworfen', async () => {
+    const { scheduler, errorSpy } = makeScheduler(new Error('DB weg'));
+
+    await expect(scheduler.onApplicationBootstrap()).resolves.toBeUndefined();
+    expect(errorSpy).toHaveBeenCalled();
+  });
+
+  it('Der Planer haengt an onApplicationBootstrap, nicht an onModuleInit', () => {
+    const registry = makeFakeRegistry();
+    const scheduler = new ProxmoxSchedulerService(registry as any, {} as any);
+    expect(typeof (scheduler as unknown as { onApplicationBootstrap?: unknown }).onApplicationBootstrap).toBe(
+      'function',
+    );
+    expect((scheduler as unknown as { onModuleInit?: unknown }).onModuleInit).toBeUndefined();
+  });
+
+  it('Der Tick eines Mandanten geht ueber dessen Server und fragt jeden einzeln ab; ein fehlgeschlagener Server bricht die Schleife nicht ab', async () => {
+    const { registry, scheduler, proxmoxService, errorSpy } = makeScheduler(
+      [
+        { id: 's1', tenantId: 't1', pollIntervalMin: 5, isActive: true },
+        { id: 's2', tenantId: 't1', pollIntervalMin: 5, isActive: true },
+      ],
+      { pollShouldThrowFor: ['s1'] },
+    );
+    registries.push(registry);
+    await scheduler.onApplicationBootstrap();
+
+    registry.__jobs.get('proxmox-poll:t1').fireOnTick();
+    await new Promise((resolve) => setImmediate(resolve));
+
+    expect((proxmoxService as any).__polledServerIds).toEqual(['s1', 's2']);
+    expect(errorSpy).toHaveBeenCalled();
+  });
+
+  it('refreshTenant zieht den Auftrag eines Mandanten sofort nach — ohne Neustart', async () => {
+    const { registry, scheduler } = makeScheduler([]);
+    registries.push(registry);
+    await scheduler.onApplicationBootstrap();
+    expect(registry.__jobs.size).toBe(0);
+
+    (scheduler as any).proxmoxService.loadActiveServersForTenantScheduling = vi.fn(async () => [
+      { pollIntervalMin: 20 },
+    ]);
+
+    await scheduler.refreshTenant('t1');
+
+    expect(registry.__jobs.get('proxmox-poll:t1').cronTime.source).toBe('*/20 * * * *');
+  });
+
+  it('refreshTenant entfernt den Auftrag, wenn keine aktiven Server mehr uebrig sind', async () => {
+    const { registry, scheduler } = makeScheduler([
+      { id: 's1', tenantId: 't1', pollIntervalMin: 15, isActive: true },
+    ]);
+    registries.push(registry);
+    await scheduler.onApplicationBootstrap();
+    expect(registry.__jobs.has('proxmox-poll:t1')).toBe(true);
+
+    (scheduler as any).proxmoxService.loadActiveServersForTenantScheduling = vi.fn(async () => []);
+    await scheduler.refreshTenant('t1');
+
+    expect(registry.__jobs.has('proxmox-poll:t1')).toBe(false);
+  });
+});

apps/api/src/proxmox/proxmox-scheduler.service.ts

@@ -0,0 +1,186 @@
+import { Injectable, Logger, OnApplicationBootstrap } from '@nestjs/common';
+import { SchedulerRegistry } from '@nestjs/schedule';
+import { ProxmoxService } from './proxmox.service';
+
+/**
+ * CronJob constructor — resolved at runtime via require() because `cron` is
+ * a transitive dependency of @nestjs/schedule (not a direct api dep under
+ * pnpm strict isolation, so `import { CronJob } from 'cron'` fails
+ * type-check). At runtime, cron IS on disk as @nestjs/schedule@6 declares
+ * it as a peer dep. Reuses the exact DkvSchedulerService resolution
+ * workaround verbatim.
+ */
+// eslint-disable-next-line @typescript-eslint/no-require-imports
+const CronJobClass: new (cronTime: string, onTick: () => void) => { start(): void } =
+  // eslint-disable-next-line @typescript-eslint/no-unsafe-member-access
+  require('cron').CronJob as new (cronTime: string, onTick: () => void) => { start(): void };
+
+/**
+ * ProxmoxSchedulerService — Hintergrundabfrage je Mandant (Aufgabe 4).
+ * Kombiniert die zwei Bestandsmuster (Recherche, Block 3):
+ *
+ * - Das Mandanten-Auffaechern von `DkvSchedulerService`: EIN Cron-Auftrag
+ *   je aktivem Mandanten, Registry-Name `proxmox-poll:<tenantId>` — die
+ *   Vorgaengerform mit EINEM Auftragsfeld war genau der Fehler WINDOWS #21,
+ *   ERSATZLOS vermieden.
+ * - Die Lebenszyklus-Stufe von `TenderSchedulerService`:
+ *   `implements OnApplicationBootstrap`, NICHT `OnModuleInit` — die
+ *   Reihenfolge der `onModuleInit`-Haken zwischen Modulen ist nicht
+ *   festgelegt, und die Erfahrung "frische Datenbank ingestiert nichts bis
+ *   zum zweiten Neustart" (Tender-Cron-Bootstrap) gilt hier genauso.
+ *
+ * Anders als bei DKV ist ein Mandant NICHT gleich ein Server: der Tick
+ * eines Mandanten geht ueber dessen Serverzeilen. Das Abfrageintervall
+ * eines Mandanten ist das KLEINSTE `pollIntervalMin` seiner aktiven Server.
+ * Ein fehlgeschlagener Server schreibt seinen Fehler ins Zwischenlager
+ * (das erledigt `ProxmoxService.pollServer` bereits selbst — ein
+ * geworfener Fehler waere hier ein echter Bug, nicht ein "nicht
+ * erreichbar") und die Schleife laeuft weiter.
+ */
+@Injectable()
+export class ProxmoxSchedulerService implements OnApplicationBootstrap {
+  private readonly logger = new Logger(ProxmoxSchedulerService.name);
+
+  /** Praefix der Registry-Namen; der volle Name ist `<Praefix>:<tenantId>`. */
+  private readonly JOB_NAME_PREFIX = 'proxmox-poll';
+
+  constructor(
+    private readonly schedulerRegistry: SchedulerRegistry,
+    private readonly proxmoxService: ProxmoxService,
+  ) {}
+
+  private jobNameFor(tenantId: string): string {
+    return `${this.JOB_NAME_PREFIX}:${tenantId}`;
+  }
+
+  /**
+   * Beim Start: laedt ALLE aktiven `ProxmoxServer`-Zeilen (Systemkontext,
+   * `ProxmoxService.loadActiveServersForScheduler`) und registriert je
+   * aktivem Mandanten genau einen Cron-Auftrag. Eine LEERE Liste bedeutet
+   * "nichts tun" — kein Auftrag, ein Protokolleintrag, kein Fehler, nichts
+   * geloescht. Ein Fehler beim Start wird gefangen und protokolliert, nie
+   * weitergeworfen — die Anwendung startet trotzdem.
+   */
+  async onApplicationBootstrap(): Promise<void> {
+    try {
+      const servers = await this.proxmoxService.loadActiveServersForScheduler();
+      if (!servers || servers.length === 0) {
+        this.logger.log('Proxmox scheduler: no active server found — cron job not registered');
+        return;
+      }
+
+      const byTenant = new Map<string, number[]>();
+      for (const server of servers) {
+        const intervals = byTenant.get(server.tenantId) ?? [];
+        intervals.push(server.pollIntervalMin);
+        byTenant.set(server.tenantId, intervals);
+      }
+
+      for (const [tenantId, intervals] of byTenant) {
+        this.setInterval(Math.min(...intervals), tenantId);
+      }
+
+      this.logger.log(`Proxmox scheduler initialized: ${byTenant.size} tenant(s)`);
+    } catch (err) {
+      this.logger.error(`Proxmox scheduler init failed: ${(err as Error).message}`);
+    }
+  }
+
+  /**
+   * Erzeugt (oder ersetzt) den Poll-Auftrag GENAU EINES Mandanten. Ersetzt
+   * nur den Auftrag unter diesem Registry-Namen — ein zweiter Mandant
+   * verdraengt den Auftrag des ersten nicht.
+   */
+  setInterval(intervalMin: number, tenantId: string): void {
+    const jobName = this.jobNameFor(tenantId);
+
+    try {
+      this.schedulerRegistry.getCronJob(jobName).stop();
+      this.schedulerRegistry.deleteCronJob(jobName);
+    } catch {
+      /* Auftrag noch nicht registriert — beim ersten Aufruf erwartet */
+    }
+
+    let cronExpr: string;
+    if (intervalMin < 60) {
+      cronExpr = `*/${intervalMin} * * * *`;
+    } else {
+      const hours = Math.floor(intervalMin / 60);
+      cronExpr = `0 */${hours} * * *`;
+    }
+
+    const job = new CronJobClass(cronExpr, () => {
+      this.tick(tenantId).catch((err) =>
+        this.logger.error(
+          `Proxmox poll tick failed for tenant ${tenantId}: ${(err as Error).message}`,
+        ),
+      );
+    });
+
+    // Cast noetig — dasselbe Muster wie DkvSchedulerService/TenderSchedulerService.
+    // eslint-disable-next-line @typescript-eslint/no-explicit-any
+    this.schedulerRegistry.addCronJob(jobName, job as any);
+    job.start();
+
+    this.logger.log(
+      `Proxmox cron job registered: every ${intervalMin} minutes for tenant ${tenantId}`,
+    );
+  }
+
+  /** Entfernt NUR den Poll-Auftrag dieses Mandanten. */
+  stopJob(tenantId: string): void {
+    const jobName = this.jobNameFor(tenantId);
+    try {
+      this.schedulerRegistry.getCronJob(jobName).stop();
+      this.schedulerRegistry.deleteCronJob(jobName);
+      this.logger.log(`Proxmox cron job stopped and removed for tenant ${tenantId}`);
+    } catch {
+      /* Nicht registriert — kein Vorgang */
+    }
+  }
+
+  /**
+   * Vom Controller nach jedem Anlegen/Speichern eines Servers gerufen, damit
+   * der Planer ohne Neustart nachzieht (Vorbild `DkvController`). Ohne
+   * aktive Server dieses Mandanten wird der Auftrag entfernt.
+   */
+  async refreshTenant(tenantId: string): Promise<void> {
+    const servers = await this.proxmoxService.loadActiveServersForTenantScheduling(tenantId);
+    if (!servers || servers.length === 0) {
+      this.stopJob(tenantId);
+      return;
+    }
+    this.setInterval(Math.min(...servers.map((s) => s.pollIntervalMin)), tenantId);
+  }
+
+  /**
+   * Der Tick EINES Mandanten: geht ueber dessen aktive Server und fragt
+   * jeden einzeln ab. `pollServer` faengt jeden Proxmox-seitigen Fehler
+   * bereits selbst ab (Ergebnis statt Wurf) — dieses try/catch schuetzt
+   * zusaetzlich vor einem echten Programmfehler (z. B. einem
+   * Datenbankfehler beim Schreiben), damit ein einzelner defekter Server
+   * die Abfrage der uebrigen Server desselben Mandanten nicht verhindert.
+   */
+  private async tick(tenantId: string): Promise<void> {
+    const serverIds = await this.proxmoxService.listActiveServerIdsForTenant(tenantId);
+    for (const serverId of serverIds) {
+      try {
+        await this.proxmoxService.pollServer(tenantId, serverId);
+      } catch (err) {
+        this.logger.error(
+          `Proxmox poll failed for server ${serverId} (tenant ${tenantId}): ${(err as Error).message}`,
+        );
+      }
+    }
+  }
+
+  /**
+   * Alle Mandanten, fuer die derzeit ein Auftrag registriert ist — aus der
+   * Registry abgeleitet, fuer Tests und Diagnose.
+   */
+  registeredTenantIds(): string[] {
+    const prefix = `${this.JOB_NAME_PREFIX}:`;
+    const names = [...this.schedulerRegistry.getCronJobs().keys()] as string[];
+    return names.filter((n) => n.startsWith(prefix)).map((n) => n.slice(prefix.length));
+  }
+}

apps/api/src/proxmox/proxmox.controller.ts

@@ -0,0 +1,123 @@
+import {
+  Body,
+  Controller,
+  Delete,
+  ForbiddenException,
+  Get,
+  Param,
+  Post,
+  Put,
+  Req,
+} from '@nestjs/common';
+import { Role } from '@prisma/client';
+import { Roles } from '../auth/decorators/roles.decorator';
+import type { AuthenticatedRequest } from '../auth/types/auth-user';
+import { UseModule } from '../module-registry/module.guard';
+import {
+  CreateProxmoxServerDto,
+  TestProxmoxServerDto,
+  UpdateProxmoxServerDto,
+} from './dto/proxmox-server.dto';
+import { ProxmoxSchedulerService } from './proxmox-scheduler.service';
+import { ProxmoxService } from './proxmox.service';
+
+/**
+ * `@UseModule('proxmox')` auf Klassenebene (D-09, Vorbild
+ * `domaincheck.controller.ts`) — Aktivierung UND Freigabe. `tenantId` kommt
+ * ausschliesslich aus `req.tenantId` (gesetzt vom `TenantGuard`), nie aus
+ * Body oder Query. Lesen (`GET servers`) steht jedem Benutzer mit
+ * Modulzugriff offen; Schreiben (`POST servers`, `POST servers/test`,
+ * `POST servers/:id/poll`, `POST servers/:id/test`) zusaetzlich
+ * `@Roles(ADMIN, SUPER_ADMIN)` (T-DHH-05). `servers/test` (statisch, zwei
+ * Segmente) und `servers/:id/test` (drei Segmente) ueberschneiden sich
+ * nicht — beide POST, aber unterschiedliche Segmentzahl, deshalb keine
+ * Reihenfolge-Abhaengigkeit (anders als `GET :id` vs. statische Routen).
+ */
+@Controller('modules/proxmox')
+@UseModule('proxmox')
+export class ProxmoxController {
+  constructor(
+    private readonly proxmoxService: ProxmoxService,
+    private readonly scheduler: ProxmoxSchedulerService,
+  ) {}
+
+  private requireTenantId(req: AuthenticatedRequest): string {
+    const tenantId = req.tenantId;
+    if (!tenantId) {
+      throw new ForbiddenException('Kein Mandantenkontext');
+    }
+    return tenantId;
+  }
+
+  @Get('servers')
+  async list(@Req() req: AuthenticatedRequest) {
+    return this.proxmoxService.listWithStatus(this.requireTenantId(req));
+  }
+
+  @Post('servers')
+  @Roles(Role.ADMIN, Role.SUPER_ADMIN)
+  async create(@Req() req: AuthenticatedRequest, @Body() dto: CreateProxmoxServerDto) {
+    const tenantId = this.requireTenantId(req);
+    const created = await this.proxmoxService.createServer(tenantId, dto);
+    // Planer sofort nachziehen — ohne Neustart (Aufgabe 4, Vorbild DkvController).
+    await this.scheduler.refreshTenant(tenantId);
+    return created;
+  }
+
+  @Put('servers/:id')
+  @Roles(Role.ADMIN, Role.SUPER_ADMIN)
+  async update(
+    @Req() req: AuthenticatedRequest,
+    @Param('id') id: string,
+    @Body() dto: UpdateProxmoxServerDto,
+  ) {
+    const tenantId = this.requireTenantId(req);
+    const updated = await this.proxmoxService.updateServer(tenantId, id, dto);
+    await this.scheduler.refreshTenant(tenantId);
+    return updated;
+  }
+
+  @Delete('servers/:id')
+  @Roles(Role.ADMIN, Role.SUPER_ADMIN)
+  async remove(@Req() req: AuthenticatedRequest, @Param('id') id: string) {
+    const tenantId = this.requireTenantId(req);
+    const deleted = await this.proxmoxService.deleteServer(tenantId, id);
+    await this.scheduler.refreshTenant(tenantId);
+    return { deleted };
+  }
+
+  @Post('servers/:id/poll')
+  @Roles(Role.ADMIN, Role.SUPER_ADMIN)
+  async poll(@Req() req: AuthenticatedRequest, @Param('id') id: string) {
+    return this.proxmoxService.pollServer(this.requireTenantId(req), id);
+  }
+
+  /**
+   * Verbindungstest fuer einen gespeicherten Server (Aufgabe 4, `<behavior>`;
+   * Nachbesserung Befund 1: `dto` traegt den aktuellen Formularstand,
+   * `ProxmoxService.testConnection` prueft diesen statt blind des
+   * gespeicherten Stands). Liefert bei Erfolg eine Erfolgsmeldung und bei
+   * Misserfolg einen der sieben Fehlerschluessel samt kurzer Ergaenzung,
+   * OHNE den Zwischenlagerstand zu ueberschreiben.
+   */
+  @Post('servers/:id/test')
+  @Roles(Role.ADMIN, Role.SUPER_ADMIN)
+  async test(
+    @Req() req: AuthenticatedRequest,
+    @Param('id') id: string,
+    @Body() dto: TestProxmoxServerDto,
+  ) {
+    return this.proxmoxService.testConnection(this.requireTenantId(req), id, dto);
+  }
+
+  /**
+   * Verbindungstest waehrend der Neuanlage (Nachbesserung Befund 1): es gibt
+   * noch keinen gespeicherten Server, `dto` ist deshalb die einzige Quelle.
+   */
+  @Post('servers/test')
+  @Roles(Role.ADMIN, Role.SUPER_ADMIN)
+  async testDraft(@Req() req: AuthenticatedRequest, @Body() dto: TestProxmoxServerDto) {
+    this.requireTenantId(req);
+    return this.proxmoxService.testDraftConnection(dto);
+  }
+}

apps/api/src/proxmox/proxmox.module.ts

@@ -0,0 +1,34 @@
+import { Logger, Module, OnModuleInit } from '@nestjs/common';
+import { ModuleRegistryModule } from '../module-registry/module-registry.module';
+import { ModuleRegistryService } from '../module-registry/module-registry.service';
+import { ProxmoxController } from './proxmox.controller';
+import { ProxmoxSchedulerService } from './proxmox-scheduler.service';
+import { seedProxmoxModule } from './proxmox.seed';
+import { ProxmoxService } from './proxmox.service';
+
+/**
+ * NestJS module for the Proxmox feature (260923-dhh). Vorbild
+ * `DomaincheckModule`: seeds itself into the module registry on startup.
+ * `ScheduleModule` ist bereits global in `app.module.ts` registriert — der
+ * Planer (Aufgabe 4) braucht hier nichts zusaetzlich, nur die Aufnahme in
+ * `providers`.
+ */
+@Module({
+  imports: [ModuleRegistryModule],
+  controllers: [ProxmoxController],
+  providers: [ProxmoxService, ProxmoxSchedulerService],
+})
+export class ProxmoxModule implements OnModuleInit {
+  private readonly logger = new Logger(ProxmoxModule.name);
+
+  constructor(private readonly moduleRegistryService: ModuleRegistryService) {}
+
+  async onModuleInit(): Promise<void> {
+    try {
+      await seedProxmoxModule(this.moduleRegistryService);
+      this.logger.log('Proxmox module seeded in registry');
+    } catch (error) {
+      this.logger.error('Failed to seed proxmox module', error);
+    }
+  }
+}

apps/api/src/proxmox/proxmox.seed.ts

@@ -0,0 +1,22 @@
+import { ModuleRegistryService } from '../module-registry/module-registry.service';
+
+/**
+ * Seeds the proxmox module into the module registry (D-09).
+ * Vorbild `domaincheck.seed.ts`. Kategorie `infrastructure` — die erste
+ * Kachel/Modul in dieser Kategorie.
+ */
+export async function seedProxmoxModule(
+  moduleRegistryService: ModuleRegistryService,
+): Promise<void> {
+  await moduleRegistryService.seedModule({
+    slug: 'proxmox',
+    name: 'Proxmox',
+    version: '1.0.0',
+    category: 'infrastructure',
+    description: {
+      de: 'Proxmox VE/PBS/PMG beobachten — nur lesend',
+      en: 'Observe Proxmox VE/PBS/PMG — read-only',
+    },
+    isSystem: true,
+  });
+}

apps/api/src/proxmox/proxmox.service.spec.ts

@@ -0,0 +1,635 @@
+import { afterEach, describe, expect, it, vi } from 'vitest';
+
+/**
+ * `undici` wird gemockt, damit KEIN Test tatsaechlich ins Netz geht (Vorbild
+ * `icon-discovery.service.spec.ts`) — die Mock-Klasse zeichnet nur die
+ * uebergebenen `options` auf, `fetch` delegiert zur Laufzeit an
+ * `globalThis.fetch`, damit `vi.stubGlobal('fetch', …)` je Test greift.
+ */
+vi.mock('undici', () => ({
+  Agent: class Agent {
+    constructor(public readonly options: unknown) {}
+  },
+  // biome-ignore lint/suspicious/noExplicitAny: Test-Attrappe, Signatur folgt dem Original
+  fetch: (...args: unknown[]) => (globalThis.fetch as any)(...args),
+}));
+
+// `forTenant` gibt in diesem Test denselben Client zurueck — Mandantenbindung
+// selbst ist nicht Gegenstand dieser Datei (siehe rls-access-inventory.spec.ts).
+vi.mock('../prisma/prisma-tenant.extension', () => ({
+  forTenant: vi.fn((p: unknown) => p),
+  forSystem: vi.fn((p: unknown) => p),
+}));
+
+import { Agent } from 'undici';
+import { forTenant } from '../prisma/prisma-tenant.extension';
+import { ProxmoxService } from './proxmox.service';
+import type { CreateProxmoxServerDto, UpdateProxmoxServerDto } from './dto/proxmox-server.dto';
+
+/** Durchschaubarer Ersatz fuer AES-256-GCM — Zusammenspiel unter Test, nicht die Bibliothek. */
+const crypto = {
+  encrypt: vi.fn((plaintext: string) =>
+    ['aa11', 'bb22', Buffer.from(plaintext, 'utf8').toString('hex')].join(':'),
+  ),
+  decrypt: vi.fn((stored: string) => {
+    const [, , ciphertext] = stored.split(':');
+    return Buffer.from(ciphertext, 'hex').toString('utf8');
+  }),
+};
+
+function makeFakePrisma() {
+  const servers = new Map<string, any>();
+  const statuses = new Map<string, any>(); // key: serverId
+
+  function applySelect(row: any, select: Record<string, boolean> | undefined) {
+    if (!select) return { ...row };
+    const out: Record<string, unknown> = {};
+    for (const key of Object.keys(select)) {
+      if (key === 'status') {
+        out.status = statuses.get(row.id) ?? null;
+        continue;
+      }
+      if (select[key]) out[key] = row[key];
+    }
+    return out;
+  }
+
+  const proxmoxServer = {
+    create: vi.fn(async ({ data, select }: { data: any; select?: any }) => {
+      const id = `srv-${servers.size + 1}`;
+      const row = { id, createdAt: new Date(), updatedAt: new Date(), ...data };
+      delete row.status; // nested create handled below
+      servers.set(id, row);
+      if (data.status?.create) {
+        statuses.set(id, { id: `status-${id}`, serverId: id, updatedAt: new Date(), ...data.status.create });
+      }
+      return applySelect(row, select);
+    }),
+    findMany: vi.fn(async ({ where, select }: { where?: any; select?: any } = {}) => {
+      let rows = [...servers.values()];
+      if (where?.tenantId) rows = rows.filter((r) => r.tenantId === where.tenantId);
+      if (where?.isActive !== undefined) rows = rows.filter((r) => r.isActive === where.isActive);
+      return rows.map((r) => applySelect(r, select));
+    }),
+    findUnique: vi.fn(
+      async ({ where, include }: { where: { id: string }; include?: { status?: boolean } }) => {
+        const row = servers.get(where.id);
+        if (!row) return null;
+        if (include?.status) {
+          return { ...row, status: statuses.get(row.id) ?? null };
+        }
+        return { ...row };
+      },
+    ),
+    update: vi.fn(
+      async ({
+        where,
+        data,
+        select,
+      }: {
+        where: { id: string };
+        data: Record<string, unknown>;
+        select?: any;
+      }) => {
+        const existing = servers.get(where.id);
+        const updated = { ...existing, ...data, updatedAt: new Date() };
+        servers.set(where.id, updated);
+        return applySelect(updated, select);
+      },
+    ),
+    delete: vi.fn(async ({ where }: { where: { id: string } }) => {
+      const row = servers.get(where.id);
+      servers.delete(where.id);
+      statuses.delete(where.id); // Fremdschluessel mit Loeschweitergabe (onDelete: Cascade)
+      return row ? { ...row } : null;
+    }),
+  };
+
+  const proxmoxServerStatus = {
+    upsert: vi.fn(
+      async ({
+        where,
+        create,
+        update,
+      }: {
+        where: { serverId: string };
+        create: Record<string, unknown>;
+        update: Record<string, unknown>;
+      }) => {
+        const existing = statuses.get(where.serverId);
+        const record = existing
+          ? { ...existing, ...update }
+          : { id: `status-${where.serverId}`, updatedAt: new Date(), ...create };
+        statuses.set(where.serverId, record);
+        return { ...record };
+      },
+    ),
+  };
+
+  return { proxmoxServer, proxmoxServerStatus, __servers: servers, __statuses: statuses };
+}
+
+const TOKEN_DTO: CreateProxmoxServerDto = {
+  name: 'pve-1',
+  productType: 'pve',
+  baseUrl: 'https://pve.intern:8006',
+  authMethod: 'token',
+  tokenId: 'root@pam!tessera',
+  tokenSecret: 'geheimes-token-secret',
+};
+
+function pveResourcesBody(overrides: Partial<Record<string, unknown>> = {}) {
+  return {
+    data: [
+      { type: 'node', node: 'pve1', cpu: 0.12, maxcpu: 8, mem: 4_000_000_000, maxmem: 16_000_000_000 },
+      { type: 'qemu', node: 'pve1', vmid: 100, status: 'running' },
+      { type: 'qemu', node: 'pve1', vmid: 101, status: 'stopped' },
+      { type: 'lxc', node: 'pve1', vmid: 200, status: 'running' },
+    ],
+    ...overrides,
+  };
+}
+
+describe('ProxmoxService — Aufgabe 1 (PVE per Token, durchgehender Weg)', () => {
+  afterEach(() => {
+    vi.restoreAllMocks();
+    vi.unstubAllGlobals();
+  });
+
+  it('legt einen Server verschluesselt an und liefert nie das Geheimnis zurueck', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    expect((created as any).encryptedTokenSecret).toBeUndefined();
+    expect((created as any).encryptedPassword).toBeUndefined();
+
+    const storedRow = [...prisma.__servers.values()][0];
+    expect(storedRow.encryptedTokenSecret).not.toBe(TOKEN_DTO.tokenSecret);
+    expect(storedRow.encryptedTokenSecret).toMatch(/^[0-9a-f]+:[0-9a-f]+:[0-9a-f]*$/i);
+  });
+
+  it('listWithStatus liefert weder encryptedTokenSecret noch encryptedPassword', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    await service.createServer('tenant-a', TOKEN_DTO);
+
+    const list = await service.listWithStatus('tenant-a');
+
+    expect(list).toHaveLength(1);
+    expect(JSON.stringify(list)).not.toContain(TOKEN_DTO.tokenSecret);
+    expect('encryptedTokenSecret' in (list[0] as object)).toBe(false);
+    expect('encryptedPassword' in (list[0] as object)).toBe(false);
+  });
+
+  it('pollServer fragt PVE ab, normalisiert nachsichtig und schreibt das Zwischenlager', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    const fetchSpy = vi.fn(async (url: string) => {
+      expect(url).toBe('https://pve.intern:8006/api2/json/cluster/resources');
+      return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+    });
+    vi.stubGlobal('fetch', fetchSpy);
+
+    const result = await service.pollServer('tenant-a', (created as any).id);
+
+    expect(result?.reachable).toBe(true);
+    expect(result?.metrics).toMatchObject({
+      productType: 'pve',
+      nodeCount: 1,
+      guestsRunning: 2,
+      guestsStopped: 1,
+    });
+
+    const status = prisma.__statuses.get((created as any).id);
+    expect(status.reachable).toBe(true);
+    expect(status.metrics).toMatchObject({ nodeCount: 1 });
+    expect(status.rawSample).toContain('"node":"pve1"');
+  });
+
+  it('sendet die Token-Kopfzeile im PVE-Schema (Gleichheitszeichen vor dem Geheimnis)', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    let capturedAuth: string | null = null;
+    const fetchSpy = vi.fn(async (_url: string, options: RequestInit) => {
+      capturedAuth = (options.headers as Record<string, string>).Authorization;
+      return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+    });
+    vi.stubGlobal('fetch', fetchSpy);
+
+    await service.pollServer('tenant-a', (created as any).id);
+
+    expect(capturedAuth).toBe(
+      `PVEAPIToken=${TOKEN_DTO.tokenId}=${TOKEN_DTO.tokenSecret}`,
+    );
+  });
+
+  it('uebergibt bei tlsRejectUnauthorized=true KEINEN Dispatcher, bei false genau einen mit abgeschalteter Pruefung', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+
+    const strictServer = await service.createServer('tenant-a', TOKEN_DTO);
+    const lenientServer = await service.createServer('tenant-a', {
+      ...TOKEN_DTO,
+      name: 'pve-2',
+      tlsRejectUnauthorized: false,
+    });
+
+    const dispatchers: unknown[] = [];
+    const fetchSpy = vi.fn(async (_url: string, options: RequestInit & { dispatcher?: unknown }) => {
+      dispatchers.push(options.dispatcher);
+      return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+    });
+    vi.stubGlobal('fetch', fetchSpy);
+
+    await service.pollServer('tenant-a', (strictServer as any).id);
+    await service.pollServer('tenant-a', (lenientServer as any).id);
+
+    expect(dispatchers[0]).toBeUndefined();
+    expect(dispatchers[1]).toBeInstanceOf(Agent);
+    // biome-ignore lint/suspicious/noExplicitAny: Test-Attrappe traegt `options` nicht im echten undici-Typ
+    expect((dispatchers[1] as any).options).toEqual({
+      connect: { rejectUnauthorized: false },
+    });
+  });
+
+  it('ein fehlendes Feld der Antwort fuehrt zu null, nicht zu einem Wurf', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    const bodyWithMissingFields = {
+      data: [{ type: 'node', node: 'pve1' /* cpu/maxcpu/mem/maxmem fehlen */ }],
+    };
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async () => new Response(JSON.stringify(bodyWithMissingFields), { status: 200 })),
+    );
+
+    const result = await service.pollServer('tenant-a', (created as any).id);
+
+    expect(result?.reachable).toBe(true);
+    const metrics = result?.metrics as { nodes: { cpu: unknown; maxcpu: unknown; mem: unknown; maxmem: unknown }[] };
+    expect(metrics.nodes[0]).toEqual({
+      node: 'pve1',
+      cpu: null,
+      maxcpu: null,
+      mem: null,
+      maxmem: null,
+    });
+  });
+
+  it('nutzt forTenant fuer jeden Datenbankzugriff (D-08)', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    await service.createServer('tenant-a', TOKEN_DTO);
+    await service.listWithStatus('tenant-a');
+
+    expect(forTenant).toHaveBeenCalled();
+  });
+});
+
+describe('ProxmoxService — Aufgabe 3 (PBS und PMG)', () => {
+  afterEach(() => {
+    vi.restoreAllMocks();
+    vi.unstubAllGlobals();
+  });
+
+  it('fragt PBS ab: Belegung plus je Datenspeicher hoechstens 10 Folgeabfragen', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', {
+      ...TOKEN_DTO,
+      name: 'pbs-1',
+      productType: 'pbs',
+      baseUrl: 'https://pbs.intern:8007',
+    });
+
+    const usageBody = {
+      data: Array.from({ length: 15 }, (_, i) => ({ store: `store-${i}`, total: 100, used: 10, avail: 90 })),
+    };
+
+    let snapshotCalls = 0;
+    const fetchSpy = vi.fn(async (url: string) => {
+      if (url.includes('/status/datastore-usage')) {
+        return new Response(JSON.stringify(usageBody), { status: 200 });
+      }
+      snapshotCalls++;
+      return new Response(JSON.stringify({ data: [] }), { status: 200 });
+    });
+    vi.stubGlobal('fetch', fetchSpy);
+
+    const result = await service.pollServer('tenant-a', (created as any).id);
+
+    expect(result?.reachable).toBe(true);
+    expect(snapshotCalls).toBe(10);
+    expect((result?.metrics as { datastores: unknown[] }).datastores).toHaveLength(15);
+  });
+
+  it('fragt PMG ab und normalisiert die Tageszahlen', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', {
+      name: 'pmg-1',
+      productType: 'pmg',
+      baseUrl: 'https://pmg.intern:8006',
+      authMethod: 'password',
+      username: 'admin@pmg',
+      password: 'geheim',
+    });
+
+    const fetchSpy = vi.fn(async (url: string) => {
+      if (url.endsWith('/access/ticket')) {
+        return new Response(JSON.stringify({ data: { ticket: 'PMG:admin@pmg:xyz' } }), { status: 200 });
+      }
+      return new Response(
+        JSON.stringify({ data: { count_in: 10, count_out: 5, spamcount_in: 1, spamcount_out: 0, viruscount_in: 0, viruscount_out: 0 } }),
+        { status: 200 },
+      );
+    });
+    vi.stubGlobal('fetch', fetchSpy);
+
+    const result = await service.pollServer('tenant-a', (created as any).id);
+
+    expect(result?.reachable).toBe(true);
+    expect(result?.metrics).toMatchObject({ productType: 'pmg', countIn: 10, countOut: 5, spamCount: 1 });
+  });
+
+  it('401/403/404/500 bleiben fuer PBS/PMG dieselben Fehlerschluessel wie fuer PVE', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', {
+      ...TOKEN_DTO,
+      name: 'pbs-403',
+      productType: 'pbs',
+      baseUrl: 'https://pbs.intern:8007',
+    });
+
+    vi.stubGlobal('fetch', vi.fn(async () => new Response('forbidden', { status: 403 })));
+    const result = await service.pollServer('tenant-a', (created as any).id);
+    expect(result?.reachable).toBe(false);
+    expect(result?.errorKind).toBe('rechte');
+  });
+});
+
+describe('ProxmoxService — Aufgabe 4 (Verbindungstest, Zehn-Sekunden-Sperre)', () => {
+  afterEach(() => {
+    vi.restoreAllMocks();
+    vi.unstubAllGlobals();
+  });
+
+  it('testConnection liefert das Ergebnis, schreibt aber NICHT ins Zwischenlager', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async () => new Response(JSON.stringify(pveResourcesBody()), { status: 200 })),
+    );
+
+    const result = await service.testConnection('tenant-a', (created as any).id);
+
+    expect(result?.reachable).toBe(true);
+    const status = prisma.__statuses.get((created as any).id);
+    // Die leere Zwischenlagerzeile aus createServer bleibt unveraendert.
+    expect(status.lastPolledAt).toBeUndefined();
+    expect(status.reachable).toBe(false);
+  });
+
+  it('Nachbesserung Befund 1: testConnection prueft die im Formular abgeschaltete Zertifikatspruefung, nicht den gespeicherten Stand (Server wurde MIT tlsRejectUnauthorized:true angelegt)', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    // Gespeichert: Zertifikatspruefung AN (Vorgabe).
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    const dispatchers: unknown[] = [];
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async (_url: string, options: RequestInit & { dispatcher?: unknown }) => {
+        dispatchers.push(options.dispatcher);
+        return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+      }),
+    );
+
+    // Formular: Zertifikatspruefung wurde vom Nutzer AUSGESCHALTET, aber noch nicht gespeichert.
+    await service.testConnection('tenant-a', (created as any).id, {
+      tlsRejectUnauthorized: false,
+    });
+
+    // Vor der Korrektur wurde ausschliesslich der gespeicherte Server (Zertifikatspruefung AN)
+    // getestet — dieser Test waere ohne die Korrektur rot, weil dispatchers[0] dann `undefined` waere.
+    expect(dispatchers[0]).toBeInstanceOf(Agent);
+    // biome-ignore lint/suspicious/noExplicitAny: Test-Attrappe traegt `options` nicht im echten undici-Typ
+    expect((dispatchers[0] as any).options).toEqual({ connect: { rejectUnauthorized: false } });
+  });
+
+  it('Nachbesserung Befund 1: ein im Formular NEU eingetipptes Token-Geheimnis wird getestet, nicht das gespeicherte', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    let capturedAuth: string | null = null;
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async (_url: string, options: RequestInit) => {
+        capturedAuth = (options.headers as Record<string, string>).Authorization;
+        return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+      }),
+    );
+
+    await service.testConnection('tenant-a', (created as any).id, {
+      tokenSecret: 'ein-anderes-geheimnis',
+    });
+
+    // Ohne die Korrektur wuerde hier weiterhin TOKEN_DTO.tokenSecret gesendet — roter Test.
+    expect(capturedAuth).toBe(`PVEAPIToken=${TOKEN_DTO.tokenId}=ein-anderes-geheimnis`);
+  });
+
+  it('Nachbesserung Befund 1: leer gelassenes Geheimnisfeld im Formular nutzt weiterhin das gespeicherte Token-Geheimnis', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    let capturedAuth: string | null = null;
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async (_url: string, options: RequestInit) => {
+        capturedAuth = (options.headers as Record<string, string>).Authorization;
+        return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+      }),
+    );
+
+    // Formular sendet kein tokenSecret (Feld leer gelassen) — wie `ServerForm.buildPayload()`.
+    await service.testConnection('tenant-a', (created as any).id, {});
+
+    expect(capturedAuth).toBe(`PVEAPIToken=${TOKEN_DTO.tokenId}=${TOKEN_DTO.tokenSecret}`);
+  });
+
+  it('Nachbesserung Befund 1: testDraftConnection testet einen noch nicht gespeicherten Server ausschliesslich mit den Formularwerten', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+
+    let capturedUrl: string | null = null;
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async (url: string) => {
+        capturedUrl = url;
+        return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+      }),
+    );
+
+    const result = await service.testDraftConnection({
+      productType: 'pve',
+      baseUrl: 'https://neu.intern:8006',
+      authMethod: 'token',
+      tokenId: 'root@pam!neu',
+      tokenSecret: 'frisches-geheimnis',
+    });
+
+    expect(result.reachable).toBe(true);
+    expect(capturedUrl).toBe('https://neu.intern:8006/api2/json/cluster/resources');
+  });
+
+  it('Nachbesserung Befund 1: testDraftConnection ohne Geheimnis liefert den Fehlerschluessel "zugang", statt zu werfen', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+
+    const result = await service.testDraftConnection({
+      productType: 'pve',
+      baseUrl: 'https://neu.intern:8006',
+      authMethod: 'token',
+      tokenId: 'root@pam!neu',
+    });
+
+    expect(result.reachable).toBe(false);
+    expect(result.errorKind).toBe('zugang');
+  });
+
+  it('POST servers/:id/poll verweigert einen zweiten Durchlauf innerhalb von zehn Sekunden und liefert den vorhandenen Stand', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    let fetchCalls = 0;
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async () => {
+        fetchCalls++;
+        return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+      }),
+    );
+
+    const first = await service.pollServer('tenant-a', (created as any).id);
+    const second = await service.pollServer('tenant-a', (created as any).id);
+
+    expect(fetchCalls).toBe(1);
+    expect(second).toEqual(first);
+  });
+
+  it('nach zehn Sekunden ist ein erneuter Durchlauf wieder erlaubt', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    let fetchCalls = 0;
+    vi.stubGlobal(
+      'fetch',
+      vi.fn(async () => {
+        fetchCalls++;
+        return new Response(JSON.stringify(pveResourcesBody()), { status: 200 });
+      }),
+    );
+
+    await service.pollServer('tenant-a', (created as any).id);
+    const status = prisma.__statuses.get((created as any).id);
+    status.lastPolledAt = new Date(Date.now() - 11_000); // Sperre kuenstlich veraltern
+
+    await service.pollServer('tenant-a', (created as any).id);
+
+    expect(fetchCalls).toBe(2);
+  });
+
+  it('loadActiveServersForScheduler nutzt forSystem (D-08, der einzige Systemkontext-Aufruf des Moduls)', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    await service.createServer('tenant-a', TOKEN_DTO);
+
+    const servers = await service.loadActiveServersForScheduler();
+    expect(servers).toHaveLength(1);
+    expect(servers[0]).toMatchObject({ tenantId: 'tenant-a', pollIntervalMin: 5 });
+  });
+});
+
+describe('ProxmoxService — Aufgabe 5 (Bearbeiten, Loeschen)', () => {
+  afterEach(() => {
+    vi.restoreAllMocks();
+    vi.unstubAllGlobals();
+  });
+
+  it('ein NICHT gesendetes Geheimnisfeld laesst den gespeicherten Wert unveraendert', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+    const storedBefore = prisma.__servers.get((created as any).id).encryptedTokenSecret;
+
+    await service.updateServer('tenant-a', (created as any).id, { name: 'neuer-name' });
+
+    expect(prisma.__servers.get((created as any).id).encryptedTokenSecret).toBe(storedBefore);
+    expect(prisma.__servers.get((created as any).id).name).toBe('neuer-name');
+  });
+
+  it('eine LEERE Zeichenkette loescht das Geheimnis, ein gefuellter Wert verschluesselt neu', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+
+    await service.updateServer('tenant-a', (created as any).id, { tokenSecret: '' });
+    expect(prisma.__servers.get((created as any).id).encryptedTokenSecret).toBeNull();
+
+    await service.updateServer('tenant-a', (created as any).id, { tokenSecret: 'neues-geheimnis' });
+    const stored = prisma.__servers.get((created as any).id).encryptedTokenSecret;
+    expect(stored).not.toBe('neues-geheimnis');
+    expect(stored).toMatch(/^[0-9a-f]+:[0-9a-f]+:[0-9a-f]*$/i);
+  });
+
+  it('PMG plus Token wird auch beim Bearbeiten abgelehnt — auch wenn nur authMethod gesendet wird', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', {
+      name: 'pmg-1',
+      productType: 'pmg',
+      baseUrl: 'https://pmg.intern',
+      authMethod: 'password',
+      username: 'admin@pmg',
+      password: 'geheim',
+    });
+
+    const dto: UpdateProxmoxServerDto = { authMethod: 'token', tokenId: 'x', tokenSecret: 'y' };
+    await expect(service.updateServer('tenant-a', (created as any).id, dto)).rejects.toThrow();
+  });
+
+  it('loescht einen Server samt Zwischenlagerzeile', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    const created = await service.createServer('tenant-a', TOKEN_DTO);
+    expect(prisma.__statuses.has((created as any).id)).toBe(true);
+
+    const deleted = await service.deleteServer('tenant-a', (created as any).id);
+
+    expect(deleted).toBe(true);
+    expect(prisma.__servers.has((created as any).id)).toBe(false);
+    expect(prisma.__statuses.has((created as any).id)).toBe(false);
+  });
+
+  it('deleteServer liefert false fuer einen unbekannten Server', async () => {
+    const prisma = makeFakePrisma();
+    const service = new ProxmoxService(prisma as any, crypto as any);
+    expect(await service.deleteServer('tenant-a', 'unbekannt')).toBe(false);
+  });
+});

apps/api/src/proxmox/proxmox.service.ts

@@ -0,0 +1,638 @@
+import { BadRequestException, Injectable, Logger } from '@nestjs/common';
+import type { ProxmoxServer } from '@prisma/client';
+import { CryptoService } from '../crypto/crypto.service';
+import { PrismaService } from '../prisma/prisma.service';
+import { forSystem, forTenant } from '../prisma/prisma-tenant.extension';
+import { buildTicketCookieHeader, buildTokenAuthHeader, loginTicket } from './proxmox-auth';
+import { proxmoxGet, type ProxmoxGetResult } from './proxmox-client.service';
+import { listPbsDatastoreNames, normalizePbs, normalizePmg, normalizePve } from './proxmox-normalize';
+import type {
+  CreateProxmoxServerDto,
+  TestProxmoxServerDto,
+  UpdateProxmoxServerDto,
+} from './dto/proxmox-server.dto';
+import type { ProxmoxErrorKind, ProxmoxPollResult, ProxmoxProductType } from './proxmox.types';
+
+/**
+ * Nur die Felder, die eine Abfrage tatsaechlich braucht (Nachbesserung
+ * Befund 1) — `pollOne`/`buildAuthHeaders`/`getWithRetry` nehmen diesen
+ * schmalen Ausschnitt statt der vollen `ProxmoxServer`-Zeile entgegen, damit
+ * `resolveEffectiveTestServer` unten eine rein im Speicher gebaute Mischung
+ * aus Formular- und gespeicherten Werten uebergeben kann, ohne eine
+ * vollstaendige Datenbankzeile vorzutaeuschen.
+ */
+type ProxmoxCredentialSource = Pick<
+  ProxmoxServer,
+  | 'productType'
+  | 'baseUrl'
+  | 'authMethod'
+  | 'tokenId'
+  | 'encryptedTokenSecret'
+  | 'username'
+  | 'encryptedPassword'
+  | 'tlsRejectUnauthorized'
+>;
+
+/**
+ * Erkennungsform fuer "schon verschluesselt" — woertlich aus
+ * `ldap-config.service.ts:17` uebernommen (Format `iv:authTag:ciphertext`,
+ * hex, Doppelpunkt-getrennt). Fuer Proxmox als NEUES Feature ab Tag 1
+ * irrelevant (keine Altdaten), aber derselbe defensive Riegel wie ueberall
+ * sonst im Projekt.
+ */
+const ENCRYPTED_VALUE_SHAPE = /^[0-9a-f]+:[0-9a-f]+:[0-9a-f]*$/i;
+
+/** Rohantwort wird auf hoechstens diese Zeichenzahl gekuerzt in `rawSample` abgelegt. */
+const RAW_SAMPLE_MAX_CHARS = 20000;
+
+/**
+ * `select` OHNE die beiden Geheimnisfelder — die Felder verlassen die
+ * Datenbank gar nicht erst, statt nachtraeglich maskiert zu werden
+ * (T-DHH-01, `must_haves.truths`).
+ */
+const SAFE_SERVER_SELECT = {
+  id: true,
+  tenantId: true,
+  name: true,
+  productType: true,
+  baseUrl: true,
+  authMethod: true,
+  tokenId: true,
+  username: true,
+  tlsRejectUnauthorized: true,
+  isActive: true,
+  pollIntervalMin: true,
+  position: true,
+  createdAt: true,
+  updatedAt: true,
+  status: true,
+} as const;
+
+/**
+ * Deckel der Folgeabfragen je PBS-Durchlauf (Aufgabe 3, `<behavior>`): ein
+ * PBS-Server mit vielen Datenspeichern soll den Planer nicht mit
+ * unbegrenzt vielen Anfragen belasten — hoechstens diese Zahl an
+ * `/snapshots`-Abfragen je Poll-Durchlauf, unabhaengig davon, wie viele
+ * Datenspeicher der Server tatsaechlich hat.
+ */
+const PBS_SNAPSHOT_QUERY_CAP = 10;
+
+/**
+ * Zehn-Sekunden-Sperre fuer `pollServer` (Aufgabe 4, T-DHH-06): ein Klick
+ * auf "Jetzt aktualisieren" darf nicht zu ungebremsten Anfragen gegen die
+ * Fremd-API werden. Regulaer fragt ohnehin nur der Planer mit begrenzter
+ * Frequenz ab (D-05).
+ */
+const POLL_LOCK_MS = 10_000;
+
+function truncateRaw(body: unknown): string {
+  let text: string;
+  try {
+    text = JSON.stringify(body) ?? String(body);
+  } catch {
+    text = String(body);
+  }
+  return text.length > RAW_SAMPLE_MAX_CHARS ? text.slice(0, RAW_SAMPLE_MAX_CHARS) : text;
+}
+
+type AuthHeaderResult =
+  | { ok: true; headers: Record<string, string> }
+  | { ok: false; errorKind: ProxmoxErrorKind; errorDetail: string };
+
+@Injectable()
+export class ProxmoxService {
+  private readonly logger = new Logger(ProxmoxService.name);
+
+  constructor(
+    private readonly prisma: PrismaService,
+    private readonly crypto: CryptoService,
+  ) {}
+
+  /**
+   * Entschluesselt fuer den internen Gebrauch in GENAU dieser einen
+   * privaten Methode (Vorbild `LdapConfigService.decryptBindPassword`) —
+   * ein Wert, der nicht in `iv:authTag:ciphertext`-Form ist, wird
+   * unveraendert durchgereicht.
+   */
+  private decryptSecret(stored: string | null): string | null {
+    if (!stored) return null;
+    if (!ENCRYPTED_VALUE_SHAPE.test(stored)) return stored;
+    return this.crypto.decrypt(stored);
+  }
+
+  /**
+   * Server anlegen (Aufgabe 1: nur `pve`+Token gepflegt vom Aufrufer;
+   * Aufgabe 2 ergaenzt den Passwort-Zweig, Aufgabe 5 das Bearbeiten). Legt
+   * zugleich eine leere Zwischenlagerzeile an, damit `listWithStatus` immer
+   * eine Statuszeile findet.
+   */
+  async createServer(tenantId: string, dto: CreateProxmoxServerDto) {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    return tenantPrisma.proxmoxServer.create({
+      data: {
+        tenantId,
+        name: dto.name,
+        productType: dto.productType,
+        baseUrl: dto.baseUrl,
+        authMethod: dto.authMethod,
+        tokenId: dto.authMethod === 'token' ? (dto.tokenId ?? null) : null,
+        encryptedTokenSecret:
+          dto.authMethod === 'token' && dto.tokenSecret
+            ? this.crypto.encrypt(dto.tokenSecret)
+            : null,
+        username: dto.authMethod === 'password' ? (dto.username ?? null) : null,
+        encryptedPassword:
+          dto.authMethod === 'password' && dto.password
+            ? this.crypto.encrypt(dto.password)
+            : null,
+        tlsRejectUnauthorized: dto.tlsRejectUnauthorized ?? true,
+        pollIntervalMin: dto.pollIntervalMin ?? 5,
+        isActive: dto.isActive ?? true,
+        status: { create: { tenantId, reachable: false } },
+      },
+      select: SAFE_SERVER_SELECT,
+    });
+  }
+
+  /**
+   * Serverliste samt Zwischenlager, OHNE jedes Geheimnisfeld (T-DHH-01).
+   * Liest ausschliesslich aus dem Zwischenlager — kein Live-Zugriff bei
+   * Proxmox (D-05).
+   */
+  async listWithStatus(tenantId: string) {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    return tenantPrisma.proxmoxServer.findMany({
+      where: { tenantId },
+      orderBy: { position: 'asc' },
+      select: SAFE_SERVER_SELECT,
+    });
+  }
+
+  /**
+   * Bearbeiten (Aufgabe 5). Dieselbe Regel wie
+   * `LdapConfigService.updateConfig`: ein NICHT gesendetes Geheimnisfeld
+   * laesst den gespeicherten Wert unveraendert, eine LEERE Zeichenkette
+   * bedeutet "loeschen", ein gefuellter Wert wird neu verschluesselt. Die
+   * Ablehnung "PMG plus Token" gilt auch hier — geprueft gegen den
+   * EFFEKTIVEN Stand nach dem Zusammenfuehren mit der vorhandenen Zeile,
+   * nicht nur gegen die gesendeten Felder (ein Teil-Update, das nur
+   * `authMethod` aendert, wuerde die DTO-eigene Pruefung sonst umgehen,
+   * weil `productType` in diesem Aufruf gar nicht gesendet wird).
+   */
+  async updateServer(tenantId: string, serverId: string, dto: UpdateProxmoxServerDto) {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    const existing = await tenantPrisma.proxmoxServer.findUnique({ where: { id: serverId } });
+    if (!existing || existing.tenantId !== tenantId) {
+      return null;
+    }
+
+    const effectiveProductType = dto.productType ?? existing.productType;
+    const effectiveAuthMethod = dto.authMethod ?? existing.authMethod;
+    if (effectiveProductType === 'pmg' && effectiveAuthMethod === 'token') {
+      throw new BadRequestException(
+        'PMG unterstuetzt keinen API-Token-Zugang. Bitte Benutzer und Passwort waehlen.',
+      );
+    }
+
+    const data: Record<string, unknown> = {};
+    if (dto.name !== undefined) data.name = dto.name;
+    if (dto.productType !== undefined) data.productType = dto.productType;
+    if (dto.baseUrl !== undefined) data.baseUrl = dto.baseUrl;
+    if (dto.authMethod !== undefined) data.authMethod = dto.authMethod;
+    if (dto.tokenId !== undefined) data.tokenId = dto.tokenId || null;
+    if (dto.tokenSecret !== undefined) {
+      data.encryptedTokenSecret = dto.tokenSecret ? this.crypto.encrypt(dto.tokenSecret) : null;
+    }
+    if (dto.username !== undefined) data.username = dto.username || null;
+    if (dto.password !== undefined) {
+      data.encryptedPassword = dto.password ? this.crypto.encrypt(dto.password) : null;
+    }
+    if (dto.tlsRejectUnauthorized !== undefined) {
+      data.tlsRejectUnauthorized = dto.tlsRejectUnauthorized;
+    }
+    if (dto.pollIntervalMin !== undefined) data.pollIntervalMin = dto.pollIntervalMin;
+    if (dto.isActive !== undefined) data.isActive = dto.isActive;
+
+    return tenantPrisma.proxmoxServer.update({
+      where: { id: serverId },
+      data,
+      select: SAFE_SERVER_SELECT,
+    });
+  }
+
+  /**
+   * Loeschen (Aufgabe 5) — entfernt den Server samt Zwischenlagerzeile
+   * (Fremdschluessel mit Loeschweitergabe, `onDelete: Cascade`). Liefert
+   * `false`, wenn der Server unter diesem Mandanten nicht existiert.
+   */
+  async deleteServer(tenantId: string, serverId: string): Promise<boolean> {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    const existing = await tenantPrisma.proxmoxServer.findUnique({ where: { id: serverId } });
+    if (!existing || existing.tenantId !== tenantId) {
+      return false;
+    }
+    await tenantPrisma.proxmoxServer.delete({ where: { id: serverId } });
+    return true;
+  }
+
+  /**
+   * Baut die Anmeldekopfzeile fuer GENAU diesen Server ueber
+   * `proxmox-auth.ts` (D-03). Beim Passwort-Zweig loest das eine
+   * Ticket-Anmeldung aus (die einzige nicht-lesende Anfrage des Moduls,
+   * D-01) — deshalb `async`.
+   */
+  private async buildAuthHeaders(server: ProxmoxCredentialSource): Promise<AuthHeaderResult> {
+    if (server.authMethod === 'token') {
+      const tokenSecret = this.decryptSecret(server.encryptedTokenSecret);
+      if (!server.tokenId || !tokenSecret) {
+        return {
+          ok: false,
+          errorKind: 'zugang',
+          errorDetail: 'Kein Token hinterlegt.',
+        };
+      }
+      return {
+        ok: true,
+        headers: buildTokenAuthHeader(
+          server.productType as 'pve' | 'pbs' | 'pmg',
+          server.tokenId,
+          tokenSecret,
+        ),
+      };
+    }
+
+    const password = this.decryptSecret(server.encryptedPassword);
+    if (!server.username || !password) {
+      return {
+        ok: false,
+        errorKind: 'zugang',
+        errorDetail: 'Kein Benutzer/Passwort hinterlegt.',
+      };
+    }
+
+    const login = await loginTicket(
+      { baseUrl: server.baseUrl, tlsRejectUnauthorized: server.tlsRejectUnauthorized },
+      server.productType as 'pve' | 'pbs' | 'pmg',
+      server.username,
+      password,
+    );
+    if (!login.ok) {
+      return { ok: false, errorKind: login.errorKind, errorDetail: login.errorDetail };
+    }
+    return {
+      ok: true,
+      headers: buildTicketCookieHeader(server.productType as 'pve' | 'pbs' | 'pmg', login.ticket),
+    };
+  }
+
+  /**
+   * Fragt EINEN Proxmox-Pfad ab, gebunden an die Kopfzeilen dieses
+   * Poll-Durchlaufs. Ticket-Erneuerung (Aufgabe 2, `<behavior>`): laeuft
+   * der Zugang ueber `password` und antwortet Proxmox mit 401
+   * (`errorKind: 'zugang'`), wird GENAU EINMAL je Durchlauf neu angemeldet
+   * (nicht je Aufruf — ein PBS-Durchlauf mit mehreren Folgeabfragen soll
+   * nicht mehrfach neu einloggen) und die Abfrage wiederholt; die neuen
+   * Kopfzeilen gelten danach fuer den Rest des Durchlaufs. Bei einer
+   * Ticketdauer von zwei Stunden erzeugt ein normaler Ablauf sonst alle
+   * zwei Stunden einen Fehlalarm. Ein zweites 401 bleibt `'zugang'`.
+   */
+  private async getWithRetry(
+    server: ProxmoxCredentialSource,
+    session: { headers: Record<string, string>; retried: boolean },
+    path: string,
+  ): Promise<ProxmoxGetResult> {
+    const target = {
+      baseUrl: server.baseUrl,
+      tlsRejectUnauthorized: server.tlsRejectUnauthorized,
+      headers: session.headers,
+    };
+    let result = await proxmoxGet(target, path);
+
+    if (
+      !result.ok &&
+      result.errorKind === 'zugang' &&
+      server.authMethod === 'password' &&
+      !session.retried
+    ) {
+      session.retried = true;
+      const retryHeaders = await this.buildAuthHeaders(server);
+      if (retryHeaders.ok) {
+        session.headers = retryHeaders.headers;
+        result = await proxmoxGet({ ...target, headers: retryHeaders.headers }, path);
+      }
+    }
+
+    return result;
+  }
+
+  /**
+   * EIN Abfragedurchlauf gegen genau diesen Server — `pve` (Aufgabe 1),
+   * `pbs` und `pmg` (Aufgabe 3), jeweils mit Token ODER Benutzer/Passwort
+   * (Aufgabe 2).
+   */
+  private async pollOne(server: ProxmoxCredentialSource): Promise<ProxmoxPollResult> {
+    const authHeaders = await this.buildAuthHeaders(server);
+    if (!authHeaders.ok) {
+      return {
+        reachable: false,
+        errorKind: authHeaders.errorKind,
+        errorDetail: authHeaders.errorDetail,
+        metrics: null,
+        rawSample: null,
+      };
+    }
+
+    const session = { headers: authHeaders.headers, retried: false };
+    const productType = server.productType as ProxmoxProductType;
+
+    if (productType === 'pve') {
+      const result = await this.getWithRetry(server, session, '/api2/json/cluster/resources');
+      if (!result.ok) {
+        return {
+          reachable: false,
+          errorKind: result.errorKind,
+          errorDetail: result.errorDetail,
+          metrics: null,
+          rawSample: result.body === null ? null : truncateRaw(result.body),
+        };
+      }
+      const normalized = normalizePve(result.body);
+      if (normalized.errorKind) {
+        return {
+          reachable: false,
+          errorKind: normalized.errorKind,
+          errorDetail: 'Die Antwort hatte nicht die erwartete Form.',
+          metrics: null,
+          rawSample: truncateRaw(result.body),
+        };
+      }
+      return {
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        metrics: normalized.metrics,
+        rawSample: truncateRaw(result.body),
+      };
+    }
+
+    if (productType === 'pbs') {
+      const usageResult = await this.getWithRetry(server, session, '/api2/json/status/datastore-usage');
+      if (!usageResult.ok) {
+        return {
+          reachable: false,
+          errorKind: usageResult.errorKind,
+          errorDetail: usageResult.errorDetail,
+          metrics: null,
+          rawSample: usageResult.body === null ? null : truncateRaw(usageResult.body),
+        };
+      }
+
+      const storeNames = listPbsDatastoreNames(usageResult.body).slice(0, PBS_SNAPSHOT_QUERY_CAP);
+      const snapshotsByStore: Record<string, unknown> = {};
+      for (const storeName of storeNames) {
+        const snapResult = await this.getWithRetry(
+          server,
+          session,
+          `/api2/json/admin/datastore/${encodeURIComponent(storeName)}/snapshots`,
+        );
+        if (snapResult.ok) {
+          snapshotsByStore[storeName] = snapResult.body;
+        }
+      }
+
+      const normalized = normalizePbs(usageResult.body, snapshotsByStore);
+      const rawSample = truncateRaw({ usage: usageResult.body, snapshots: snapshotsByStore });
+      if (normalized.errorKind) {
+        return {
+          reachable: false,
+          errorKind: normalized.errorKind,
+          errorDetail: 'Die Antwort hatte nicht die erwartete Form.',
+          metrics: null,
+          rawSample,
+        };
+      }
+      return {
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        metrics: normalized.metrics,
+        rawSample,
+      };
+    }
+
+    // pmg
+    const result = await this.getWithRetry(server, session, '/api2/json/statistics/mail');
+    if (!result.ok) {
+      return {
+        reachable: false,
+        errorKind: result.errorKind,
+        errorDetail: result.errorDetail,
+        metrics: null,
+        rawSample: result.body === null ? null : truncateRaw(result.body),
+      };
+    }
+    const normalized = normalizePmg(result.body);
+    if (normalized.errorKind) {
+      return {
+        reachable: false,
+        errorKind: normalized.errorKind,
+        errorDetail: 'Die Antwort hatte nicht die erwartete Form.',
+        metrics: null,
+        rawSample: truncateRaw(result.body),
+      };
+    }
+    return {
+      reachable: true,
+      errorKind: null,
+      errorDetail: null,
+      metrics: normalized.metrics,
+      rawSample: truncateRaw(result.body),
+    };
+  }
+
+  /**
+   * Fragt genau einen Server ab und schreibt das Ergebnis ins Zwischenlager.
+   * Liefert `null`, wenn der Server unter diesem Mandanten nicht existiert.
+   *
+   * Zehn-Sekunden-Sperre (Aufgabe 4, `<behavior>`, T-DHH-06): ein zweiter
+   * Durchlauf innerhalb von zehn Sekunden nach dem letzten fragt Proxmox
+   * NICHT erneut, sondern liefert den vorhandenen Zwischenlagerstand —
+   * Schutz davor, dass ein Klick in der Oberflaeche zu ungebremsten
+   * Anfragen gegen die Fremd-API wird.
+   */
+  async pollServer(tenantId: string, serverId: string): Promise<ProxmoxPollResult | null> {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    const server = await tenantPrisma.proxmoxServer.findUnique({
+      where: { id: serverId },
+      include: { status: true },
+    });
+    if (!server || server.tenantId !== tenantId) {
+      return null;
+    }
+
+    const cachedStatus = server.status;
+    if (cachedStatus?.lastPolledAt) {
+      const ageMs = Date.now() - cachedStatus.lastPolledAt.getTime();
+      if (ageMs < POLL_LOCK_MS) {
+        return {
+          reachable: cachedStatus.reachable,
+          errorKind: cachedStatus.errorKind as ProxmoxErrorKind | null,
+          errorDetail: cachedStatus.errorDetail,
+          metrics: cachedStatus.metrics as ProxmoxPollResult['metrics'],
+          rawSample: cachedStatus.rawSample,
+        };
+      }
+    }
+
+    const result = await this.pollOne(server);
+    const now = new Date();
+
+    await tenantPrisma.proxmoxServerStatus.upsert({
+      where: { serverId },
+      create: {
+        serverId,
+        tenantId,
+        lastPolledAt: now,
+        lastOkAt: result.reachable ? now : null,
+        reachable: result.reachable,
+        errorKind: result.errorKind,
+        errorDetail: result.errorDetail,
+        metrics: result.metrics as never,
+        rawSample: result.rawSample as never,
+      },
+      update: {
+        lastPolledAt: now,
+        ...(result.reachable ? { lastOkAt: now } : {}),
+        reachable: result.reachable,
+        errorKind: result.errorKind,
+        errorDetail: result.errorDetail,
+        metrics: result.metrics as never,
+        rawSample: result.rawSample as never,
+      },
+    });
+
+    return result;
+  }
+
+  /**
+   * Mischt Formularwerte (`dto`, ungespeichert) mit dem gespeicherten Server
+   * (`existing`, `null` bei der Neuanlage) zu genau den Feldern, die eine
+   * Abfrage braucht (Nachbesserung Befund 1). Zwei Regeln, je nachdem, ob
+   * das Formular das Feld beim Laden vorbefuellt (Vorbild `serverToForm`):
+   *
+   * - Normale Felder (`productType`, `baseUrl`, `authMethod`, `tokenId`,
+   *   `username`, `tlsRejectUnauthorized`): das Formular zeigt immer den
+   *   zuletzt gespeicherten Wert an, bis der Nutzer ihn aendert — ein vom
+   *   Aufrufer GESENDETES Feld gilt also als Formularwert, auch wenn es
+   *   absichtlich geleert wurde (`tokenId: ''` -> `null`). Nur ein NICHT
+   *   gesendetes Feld (Aufrufer ohne diesen Schluessel im Body) faellt auf
+   *   den gespeicherten Wert zurueck.
+   * - Geheimnisfelder (`tokenSecret`/`password`): `ServerForm` befuellt
+   *   diese beim Laden bewusst NIE aus der Datenbank (Geheimnis nie im
+   *   Klartext anzeigen). Ein leeres Feld bedeutet hier deshalb NICHT
+   *   "Nutzer will loeschen", sondern "Nutzer hat nichts eingetippt" ->
+   *   gespeicherten (verschluesselten) Wert weiterverwenden. Ein gefuelltes
+   *   Feld ist der eingetippte Klartext und wird unveraendert durchgereicht;
+   *   `decryptSecret()` erkennt anhand der Form `iv:authTag:ciphertext`
+   *   automatisch, ob entschluesselt werden muss, und laesst Klartext sonst
+   *   unangetastet.
+   */
+  private resolveEffectiveTestServer(
+    existing: ProxmoxServer | null,
+    dto: TestProxmoxServerDto,
+  ): ProxmoxCredentialSource {
+    return {
+      productType: dto.productType ?? existing?.productType ?? 'pve',
+      baseUrl: dto.baseUrl ?? existing?.baseUrl ?? '',
+      authMethod: dto.authMethod ?? existing?.authMethod ?? 'token',
+      tokenId: dto.tokenId !== undefined ? dto.tokenId || null : (existing?.tokenId ?? null),
+      encryptedTokenSecret: dto.tokenSecret
+        ? dto.tokenSecret
+        : (existing?.encryptedTokenSecret ?? null),
+      username: dto.username !== undefined ? dto.username || null : (existing?.username ?? null),
+      encryptedPassword: dto.password ? dto.password : (existing?.encryptedPassword ?? null),
+      tlsRejectUnauthorized: dto.tlsRejectUnauthorized ?? existing?.tlsRejectUnauthorized ?? true,
+    };
+  }
+
+  /**
+   * Verbindungstest fuer einen GESPEICHERTEN Server (Aufgabe 4, `<behavior>`,
+   * `POST servers/:id/test`; Nachbesserung Befund 1: prueft jetzt die
+   * Formularwerte aus `dto`, nicht mehr blind den gespeicherten Stand).
+   * Benutzt denselben Klienten und dieselbe Fehleruebersetzung wie der
+   * Planer, schreibt aber NICHT ins Zwischenlager — ein Testklick darf den
+   * zuletzt gemessenen Stand nicht ueberschreiben (Vorbild
+   * `TenderEmailConfigService.testConnection`/LDAP-Test). Keine
+   * Zehn-Sekunden-Sperre: ein Test ist ein bewusster Einzelklick, kein
+   * automatisierter Auffrischungsweg.
+   */
+  async testConnection(
+    tenantId: string,
+    serverId: string,
+    dto: TestProxmoxServerDto = {},
+  ): Promise<ProxmoxPollResult | null> {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    const server = await tenantPrisma.proxmoxServer.findUnique({ where: { id: serverId } });
+    if (!server || server.tenantId !== tenantId) {
+      return null;
+    }
+    return this.pollOne(this.resolveEffectiveTestServer(server, dto));
+  }
+
+  /**
+   * Verbindungstest waehrend der Neuanlage (Nachbesserung Befund 1,
+   * `POST servers/test`, ohne `:id`) — es gibt noch keinen gespeicherten
+   * Server, also ausschliesslich die Formularwerte aus `dto`. Fehlende
+   * Pflichtangaben (z. B. kein Geheimnis) fuehren zum selben Fehlerschluessel
+   * wie beim Abfragen eines gespeicherten Servers ohne Zugang (`zugang`).
+   */
+  async testDraftConnection(dto: TestProxmoxServerDto): Promise<ProxmoxPollResult> {
+    return this.pollOne(this.resolveEffectiveTestServer(null, dto));
+  }
+
+  /**
+   * Aktive Server-IDs eines Mandanten fuer den Planer-Tick (gebunden).
+   */
+  async listActiveServerIdsForTenant(tenantId: string): Promise<string[]> {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    const rows = await tenantPrisma.proxmoxServer.findMany({
+      where: { tenantId, isActive: true },
+      select: { id: true },
+    });
+    return rows.map((r) => r.id);
+  }
+
+  /**
+   * Abfrageintervalle der aktiven Server eines Mandanten (gebunden) — der
+   * Controller ruft dies nach jedem Anlegen/Speichern, um den Planer
+   * sofort nachzuziehen (`ProxmoxSchedulerService.refreshTenant`).
+   */
+  async loadActiveServersForTenantScheduling(
+    tenantId: string,
+  ): Promise<{ pollIntervalMin: number }[]> {
+    const tenantPrisma = forTenant(this.prisma, tenantId);
+    return tenantPrisma.proxmoxServer.findMany({
+      where: { tenantId, isActive: true },
+      select: { pollIntervalMin: true },
+    });
+  }
+
+  /**
+   * Startpfad des Planers — der EINZIGE Systemkontext-Aufruf dieses Moduls
+   * (`FORSYSTEM_ALLOWED_CALL_SITES`, `rls-access-inventory.spec.ts`, Aufgabe 4):
+   * `const systemPrisma = forSystem(this.prisma);`, nur lesend, OHNE
+   * `include` auf das Zwischenlager — die Zwischenlagertabelle hat bewusst
+   * keine Systemlese-Regel, das Nachziehen laeuft je Zeile gebunden
+   * (Muster `DkvSchedulerService`/`DashboardImagesService`, einmal lesen,
+   * viele bedienen).
+   */
+  async loadActiveServersForScheduler(): Promise<
+    { id: string; tenantId: string; pollIntervalMin: number }[]
+  > {
+    const systemPrisma = forSystem(this.prisma);
+    return systemPrisma.proxmoxServer.findMany({
+      where: { isActive: true },
+      select: { id: true, tenantId: true, pollIntervalMin: true },
+    });
+  }
+}

apps/api/src/proxmox/proxmox.types.ts

@@ -0,0 +1,91 @@
+/**
+ * Gemeinsame Typen des Proxmox-Moduls (260923-dhh). Diese Datei enthaelt
+ * ausschliesslich Typen — keine Logik, kein Prisma-Bezug — und wird von
+ * `proxmox-auth.ts`, `proxmox-client.service.ts`, `proxmox-normalize.ts`
+ * und `proxmox.service.ts` gleichermassen gelesen.
+ */
+
+/** Drei Proxmox-Produkte, die dieses Modul beobachtet (D-01). */
+export type ProxmoxProductType = 'pve' | 'pbs' | 'pmg';
+
+/** PMG kennt nur `password` (Recherche, Annahme A1) — DTO lehnt `token` fuer PMG ab. */
+export type ProxmoxAuthMethod = 'token' | 'password';
+
+/**
+ * Sieben stabile Fehlerschluessel. Sie landen so in der Datenbank
+ * (`ProxmoxServerStatus.errorKind`) und werden ERST im Frontend uebersetzt
+ * (`proxmox.errors.*`) — stabile Schluessel, uebersetzbarer Text (D-06).
+ * Eine Erweiterung dieser Liste ist eine bewusste Entscheidung, keine
+ * beilaeufige — siehe `proxmox-nur-lesen.spec.ts` fuer den maschinellen
+ * Riegel auf D-01, der denselben Gedanken fuer den Anfrageweg durchsetzt.
+ */
+export type ProxmoxErrorKind =
+  | 'netz'
+  | 'zugang'
+  | 'rechte'
+  | 'zertifikat'
+  | 'antwortform'
+  | 'server'
+  | 'unbekannt';
+
+/** Ergebnis EINES Abfragedurchlaufs — was `proxmox.service.ts` ins Zwischenlager schreibt. */
+export interface ProxmoxPollResult {
+  reachable: boolean;
+  errorKind: ProxmoxErrorKind | null;
+  errorDetail: string | null;
+  metrics: ProxmoxMetrics | null;
+  rawSample: unknown;
+}
+
+/**
+ * Messwertform je Produkt (Aufgabe 3 fuellt `pbs`/`pmg`; hier bereits als
+ * unterscheidbare Union angelegt, damit das Frontend ab Aufgabe 6 ueber
+ * `productType` typsicher verzweigen kann, D-Recherche "unterscheidbare Union").
+ */
+export type ProxmoxMetrics = ProxmoxPveMetrics | ProxmoxPbsMetrics | ProxmoxPmgMetrics;
+
+export interface ProxmoxPveNodeMetric {
+  node: string;
+  cpu: number | null; // Anteil 0..1
+  maxcpu: number | null;
+  mem: number | null; // Bytes
+  maxmem: number | null;
+}
+
+export interface ProxmoxPveStorageMetric {
+  storage: string;
+  node: string;
+  disk: number | null;
+  maxdisk: number | null;
+}
+
+export interface ProxmoxPveMetrics {
+  productType: 'pve';
+  nodeCount: number;
+  guestsRunning: number;
+  guestsStopped: number;
+  nodes: ProxmoxPveNodeMetric[];
+  storages: ProxmoxPveStorageMetric[];
+}
+
+export interface ProxmoxPbsDatastoreMetric {
+  name: string;
+  total: number | null;
+  used: number | null;
+  free: number | null;
+  lastBackupAt: number | null; // Unix-Sekunden, wie Proxmox sie liefert
+  lastVerifyState: string | null;
+}
+
+export interface ProxmoxPbsMetrics {
+  productType: 'pbs';
+  datastores: ProxmoxPbsDatastoreMetric[];
+}
+
+export interface ProxmoxPmgMetrics {
+  productType: 'pmg';
+  countIn: number | null;
+  countOut: number | null;
+  spamCount: number | null;
+  virusCount: number | null;
+}

apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.test.tsx

@@ -0,0 +1,356 @@
+import { cleanup, render, screen } from '@testing-library/react';
+import { afterEach, describe, expect, it, vi } from 'vitest';
+import type { ProxmoxServer } from '@/lib/proxmox-api';
+
+vi.mock('next-intl', () => ({
+  useTranslations: () => (key: string, params?: Record<string, string | number>) => {
+    const translations: Record<string, string> = {
+      'card.unknownValue': 'unbekannt',
+      'card.lastPolledLabel': 'Letzte Abfrage',
+      'card.notPolledYet': 'Noch keine Abfrage gelaufen. Klicken Sie oben auf „{refreshLabel}“.',
+      'card.notPolledYetAutomatic':
+        'Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.',
+      'card.refresh': 'Jetzt aktualisieren',
+      'card.lastOkLabel': 'Letzte erfolgreiche Messung',
+      'card.pve.nodeCount': 'Knoten',
+      'card.pve.guests': '{running} laufend / {stopped} gestoppt',
+      'card.pve.cpu': 'Prozessorlast',
+      'card.pve.mem': 'Speicher',
+      'card.pbs.used': 'Belegt',
+      'card.pbs.lastBackup': 'Letzte Sicherung',
+      'card.pbs.noBackupYet': 'noch keine Sicherung',
+      'card.pbs.verifyState': 'Letzte Prüfung',
+      'card.pmg.countIn': 'Eingehend',
+      'card.pmg.countOut': 'Ausgehend',
+      'card.pmg.spamCount': 'Spam',
+      'card.pmg.virusCount': 'Viren',
+      'errors.netz': 'Der Server ist nicht erreichbar.',
+      'errors.zugang': 'Der Zugang wurde abgelehnt.',
+      'errors.rechte': 'Die Rechte reichen nicht aus.',
+      'errors.zertifikat': 'Das Zertifikat wurde abgelehnt.',
+      'errors.antwortform': 'Unerwartete Antwortform.',
+      'errors.server': 'Serverfehler.',
+      'errors.unbekannt': 'Unerwarteter Fehler.',
+    };
+    let result = translations[key] ?? key;
+    if (params) {
+      for (const [k, v] of Object.entries(params)) {
+        result = result.replace(`{${k}}`, String(v));
+      }
+    }
+    return result;
+  },
+}));
+
+afterEach(() => {
+  cleanup();
+});
+
+function makeServer(overrides: Partial<ProxmoxServer> = {}): ProxmoxServer {
+  return {
+    id: 'srv-1',
+    tenantId: 't1',
+    name: 'pve-1',
+    productType: 'pve',
+    baseUrl: 'https://pve.intern',
+    authMethod: 'token',
+    tokenId: 'root@pam!x',
+    username: null,
+    tlsRejectUnauthorized: true,
+    isActive: true,
+    pollIntervalMin: 5,
+    position: 0,
+    createdAt: '2026-01-01T00:00:00.000Z',
+    updatedAt: '2026-01-01T00:00:00.000Z',
+    status: null,
+    ...overrides,
+  };
+}
+
+describe('ServerCard', () => {
+  it('PVE-Server zeigt Knotenzahl, laufende/gestoppte Gaeste sowie je Knoten Prozessorlast und Speicherbelegung', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: '2026-09-23T10:00:00.000Z',
+        lastOkAt: '2026-09-23T10:00:00.000Z',
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: {
+          productType: 'pve',
+          nodeCount: 2,
+          guestsRunning: 3,
+          guestsStopped: 1,
+          nodes: [
+            { node: 'pve1', cpu: 0.25, maxcpu: 8, mem: 4_294_967_296, maxmem: 8_589_934_592 },
+          ],
+          storages: [],
+        },
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(screen.getByText(/Knoten:/)).toHaveTextContent('Knoten: 2');
+    expect(screen.getByText(/laufend/)).toHaveTextContent('3 laufend / 1 gestoppt');
+    expect(screen.getByText(/Prozessorlast/)).toHaveTextContent('Prozessorlast: 25%');
+    expect(screen.getByText(/Speicher:/)).toHaveTextContent('4.0 GB / 8.0 GB');
+  });
+
+  it('PBS-Server zeigt je Datenspeicher Belegung, letzte Sicherung und Ergebnis der letzten Pruefung', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      productType: 'pbs',
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: '2026-09-23T10:00:00.000Z',
+        lastOkAt: '2026-09-23T10:00:00.000Z',
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: {
+          productType: 'pbs',
+          datastores: [
+            { name: 'backup-store', total: 1000, used: 400, free: 600, lastBackupAt: 1758000000, lastVerifyState: 'ok' },
+          ],
+        },
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(screen.getByText('backup-store')).toBeInTheDocument();
+    expect(screen.getByText(/Belegt:/)).toHaveTextContent('400 B / 1000 B');
+    expect(screen.getByText(/Letzte Prüfung/)).toHaveTextContent('ok');
+  });
+
+  it('PBS-Datenspeicher ohne Sicherung zeigt "noch keine Sicherung"', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      productType: 'pbs',
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: '2026-09-23T10:00:00.000Z',
+        lastOkAt: null,
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: {
+          productType: 'pbs',
+          datastores: [
+            { name: 'leer', total: 10, used: 0, free: 10, lastBackupAt: null, lastVerifyState: null },
+          ],
+        },
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(screen.getByText(/Letzte Sicherung/)).toHaveTextContent('noch keine Sicherung');
+    expect(screen.getByText(/Letzte Prüfung/)).toHaveTextContent('unbekannt');
+  });
+
+  it('PMG-Server zeigt die Tageszahlen eingehend, ausgehend, Spam und Viren', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      productType: 'pmg',
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: '2026-09-23T10:00:00.000Z',
+        lastOkAt: '2026-09-23T10:00:00.000Z',
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: { productType: 'pmg', countIn: 120, countOut: 45, spamCount: 12, virusCount: 0 },
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(screen.getByText(/Eingehend:/)).toHaveTextContent('120');
+    expect(screen.getByText(/Ausgehend:/)).toHaveTextContent('45');
+    expect(screen.getByText(/Spam:/)).toHaveTextContent('12');
+    expect(screen.getByText(/Viren:/)).toHaveTextContent('0');
+  });
+
+  it('ein Messwert, der null ist, erscheint als "unbekannt" — nie als 0, leer oder NaN', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      productType: 'pmg',
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: '2026-09-23T10:00:00.000Z',
+        lastOkAt: null,
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: { productType: 'pmg', countIn: null, countOut: null, spamCount: null, virusCount: null },
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(screen.getByText(/Eingehend:/)).toHaveTextContent('unbekannt');
+    expect(screen.queryByText(/Eingehend: 0/)).not.toBeInTheDocument();
+    expect(screen.queryByText(/NaN/)).not.toBeInTheDocument();
+  });
+
+  it('ein Server mit reachable:false zeigt den Klartext der Ursache und den Zeitpunkt der letzten erfolgreichen Messung', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: '2026-09-23T10:05:00.000Z',
+        lastOkAt: '2026-09-23T09:00:00.000Z',
+        reachable: false,
+        errorKind: 'zugang',
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:05:00.000Z',
+        metrics: null,
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(screen.getByText('Der Zugang wurde abgelehnt.')).toBeInTheDocument();
+    expect(screen.getByText(/Letzte erfolgreiche Messung/)).toBeInTheDocument();
+  });
+
+  it('der Zeitpunkt der letzten Abfrage steht bei jedem Server', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: '2026-09-23T10:00:00.000Z',
+        lastOkAt: null,
+        reachable: true,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: null,
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(screen.getByText(/Letzte Abfrage/)).toBeInTheDocument();
+  });
+
+  it('Nachbesserung Befund 2: ein frisch angelegter, noch nie abgefragter Server zeigt Admins den ruhigen Hinweis mit Knopfverweis statt "Ein unerwarteter Fehler ist aufgetreten"', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    // Zustand direkt nach `createServer`: leere Zwischenlagerzeile, noch nie abgefragt.
+    const server = makeServer({
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: null,
+        lastOkAt: null,
+        reachable: false,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: null,
+      },
+    });
+
+    render(<ServerCard server={server} isAdmin />);
+
+    expect(
+      screen.getByText('Noch keine Abfrage gelaufen. Klicken Sie oben auf „Jetzt aktualisieren“.'),
+    ).toBeInTheDocument();
+    // Ohne die Korrektur erschiene hier faelschlich die Sammelmeldung — roter Test.
+    expect(screen.queryByText('Unerwarteter Fehler.')).not.toBeInTheDocument();
+  });
+
+  it('260923-le6: isAdmin={false}, noch nie abgefragt -> automatischer Hinweis ohne Knopfverweis', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: null,
+        lastOkAt: null,
+        reachable: false,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: null,
+      },
+    });
+
+    render(<ServerCard server={server} isAdmin={false} />);
+
+    expect(
+      screen.getByText(
+        'Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.',
+      ),
+    ).toBeInTheDocument();
+    expect(screen.queryByText(/Jetzt aktualisieren/)).not.toBeInTheDocument();
+    expect(screen.queryByText('Unerwarteter Fehler.')).not.toBeInTheDocument();
+  });
+
+  it('260923-le6: isAdmin weggelassen, noch nie abgefragt -> verhaelt sich wie isAdmin={false} (sichere Vorgabe)', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({
+      status: {
+        id: 's1',
+        serverId: 'srv-1',
+        lastPolledAt: null,
+        lastOkAt: null,
+        reachable: false,
+        errorKind: null,
+        errorDetail: null,
+        rawSample: null,
+        updatedAt: '2026-09-23T10:00:00.000Z',
+        metrics: null,
+      },
+    });
+
+    render(<ServerCard server={server} />);
+
+    expect(
+      screen.getByText(
+        'Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.',
+      ),
+    ).toBeInTheDocument();
+    expect(screen.queryByText(/Jetzt aktualisieren/)).not.toBeInTheDocument();
+    expect(screen.queryByText('Unerwarteter Fehler.')).not.toBeInTheDocument();
+  });
+
+  it('Nachbesserung Befund 3: die Adresse bleibt unveraendert dargestellt, nur das Produktkuerzel ist grossgeschrieben', async () => {
+    const { ServerCard } = await import('./ServerCard');
+    const server = makeServer({ baseUrl: 'https://172.21.0.1:8006' });
+
+    render(<ServerCard server={server} />);
+
+    const line = screen.getByText(/172\.21\.0\.1:8006/);
+    expect(line).toHaveTextContent('pve — https://172.21.0.1:8006');
+    const productSpan = line.querySelector('span');
+    expect(productSpan).not.toBeNull();
+    expect(productSpan).toHaveClass('uppercase');
+    expect(line).not.toHaveClass('uppercase');
+  });
+});

apps/web/src/app/(portal)/modules/proxmox/components/ServerCard.tsx

@@ -0,0 +1,213 @@
+'use client';
+
+import { useTranslations } from 'next-intl';
+import type {
+  ProxmoxErrorKind,
+  ProxmoxPbsMetrics,
+  ProxmoxPmgMetrics,
+  ProxmoxPveMetrics,
+  ProxmoxServer,
+} from '@/lib/proxmox-api';
+
+/**
+ * Wandelt einen rohen Byte-Wert in eine lesbare Form (B/KB/MB/GB/TB).
+ */
+function formatBytes(bytes: number): string {
+  if (bytes < 1024) return `${bytes} B`;
+  const units = ['KB', 'MB', 'GB', 'TB'];
+  let value = bytes;
+  let unitIndex = -1;
+  do {
+    value /= 1024;
+    unitIndex++;
+  } while (value >= 1024 && unitIndex < units.length - 1);
+  return `${value.toFixed(1)} ${units[unitIndex]}`;
+}
+
+/** Prozentwert einer Auslastung (0..1) gerundet, z. B. `25%`. */
+function formatPercent(fraction: number): string {
+  return `${Math.round(fraction * 100)}%`;
+}
+
+/**
+ * Die EINZIGE Stelle, die einen Messwert in Text verwandelt (Aufgabe 6):
+ * ist der Wert `null`/`undefined`, erscheint der uebersetzte Text
+ * "unbekannt" — sonst der Wert mit seiner Einheit. Dadurch kann kein Zweig
+ * versehentlich eine `0` anzeigen, wo nichts gemessen wurde. Die Feldnamen
+ * von PBS und PMG sind bis zur Pruefung am echten Server nur abgeleitet
+ * (Recherche, Annahmen A2/A3/A5), und ein still falscher Wert waere
+ * schlimmer als ein ehrliches "unbekannt".
+ */
+function formatMetric(
+  value: number | string | null | undefined,
+  unknownLabel: string,
+  formatter?: (v: number) => string,
+): string {
+  if (value === null || value === undefined) return unknownLabel;
+  if (typeof value === 'number') {
+    if (Number.isNaN(value)) return unknownLabel;
+    return formatter ? formatter(value) : String(value);
+  }
+  return value;
+}
+
+function formatTimestamp(value: string | number | null | undefined, unknownLabel: string): string {
+  if (value === null || value === undefined) return unknownLabel;
+  const date = typeof value === 'number' ? new Date(value * 1000) : new Date(value);
+  if (Number.isNaN(date.getTime())) return unknownLabel;
+  return date.toLocaleString();
+}
+
+interface MetricsViewProps {
+  metrics: ProxmoxPveMetrics | ProxmoxPbsMetrics | ProxmoxPmgMetrics;
+  unknown: string;
+}
+
+function PveMetricsView({ metrics, unknown }: { metrics: ProxmoxPveMetrics; unknown: string }) {
+  const t = useTranslations('proxmox');
+  return (
+    <div className="space-y-2 text-sm">
+      <div>
+        {t('card.pve.nodeCount')}: {metrics.nodeCount}
+      </div>
+      <div>
+        {t('card.pve.guests', { running: metrics.guestsRunning, stopped: metrics.guestsStopped })}
+      </div>
+      {metrics.nodes.map((node) => (
+        <div key={node.node} className="rounded border border-border/60 px-2 py-1 text-xs">
+          <div className="font-medium">{node.node}</div>
+          <div>
+            {t('card.pve.cpu')}: {formatMetric(node.cpu, unknown, formatPercent)}
+            {' · '}
+            {t('card.pve.mem')}: {formatMetric(node.mem, unknown, formatBytes)}
+            {node.maxmem !== null && node.mem !== null
+              ? ` / ${formatMetric(node.maxmem, unknown, formatBytes)}`
+              : ''}
+          </div>
+        </div>
+      ))}
+    </div>
+  );
+}
+
+function PbsMetricsView({ metrics, unknown }: { metrics: ProxmoxPbsMetrics; unknown: string }) {
+  const t = useTranslations('proxmox');
+  return (
+    <div className="space-y-2 text-sm">
+      {metrics.datastores.map((ds) => (
+        <div key={ds.name} className="rounded border border-border/60 px-2 py-1 text-xs">
+          <div className="font-medium">{ds.name}</div>
+          <div>
+            {t('card.pbs.used')}: {formatMetric(ds.used, unknown, formatBytes)}
+            {ds.total !== null && ds.used !== null ? ` / ${formatMetric(ds.total, unknown, formatBytes)}` : ''}
+          </div>
+          <div>
+            {t('card.pbs.lastBackup')}:{' '}
+            {ds.lastBackupAt === null ? t('card.pbs.noBackupYet') : formatTimestamp(ds.lastBackupAt, unknown)}
+          </div>
+          <div>
+            {t('card.pbs.verifyState')}: {formatMetric(ds.lastVerifyState, unknown)}
+          </div>
+        </div>
+      ))}
+    </div>
+  );
+}
+
+function PmgMetricsView({ metrics, unknown }: { metrics: ProxmoxPmgMetrics; unknown: string }) {
+  const t = useTranslations('proxmox');
+  return (
+    <div className="space-y-1 text-sm">
+      <div>
+        {t('card.pmg.countIn')}: {formatMetric(metrics.countIn, unknown)}
+      </div>
+      <div>
+        {t('card.pmg.countOut')}: {formatMetric(metrics.countOut, unknown)}
+      </div>
+      <div>
+        {t('card.pmg.spamCount')}: {formatMetric(metrics.spamCount, unknown)}
+      </div>
+      <div>
+        {t('card.pmg.virusCount')}: {formatMetric(metrics.virusCount, unknown)}
+      </div>
+    </div>
+  );
+}
+
+function MetricsView({ metrics, unknown }: MetricsViewProps) {
+  if (metrics.productType === 'pve') return <PveMetricsView metrics={metrics} unknown={unknown} />;
+  if (metrics.productType === 'pbs') return <PbsMetricsView metrics={metrics} unknown={unknown} />;
+  return <PmgMetricsView metrics={metrics} unknown={unknown} />;
+}
+
+function errorMessage(t: ReturnType<typeof useTranslations>, kind: ProxmoxErrorKind | null): string {
+  return t(`errors.${kind ?? 'unbekannt'}`);
+}
+
+interface ServerCardProps {
+  server: ProxmoxServer;
+  isAdmin?: boolean;
+}
+
+/**
+ * Anzeige EINES Servers (Aufgabe 6) — verzweigt ueber `productType` auf der
+ * unterscheidbaren Union aus Aufgabe 3.
+ */
+export function ServerCard({ server, isAdmin = false }: ServerCardProps) {
+  const t = useTranslations('proxmox');
+  const unknown = t('card.unknownValue');
+  const status = server.status;
+
+  return (
+    <div className="rounded-lg border border-border bg-card p-4 shadow-sm">
+      <div className="flex items-center justify-between">
+        <div>
+          <div className="font-medium">{server.name}</div>
+          {/* Nachbesserung Befund 3: `uppercase` gilt nur dem Produktkuerzel, nicht der Adresse. */}
+          <div className="text-xs text-muted-foreground">
+            <span className="uppercase">{server.productType}</span> — {server.baseUrl}
+          </div>
+        </div>
+      </div>
+
+      <div className="mt-2 text-xs text-muted-foreground">
+        {t('card.lastPolledLabel')}: {formatTimestamp(status?.lastPolledAt ?? null, unknown)}
+      </div>
+
+      {/*
+        Nachbesserung Befund 2: ein Server, der noch nie abgefragt wurde
+        (`lastPolledAt === null`), zeigt einen ruhigen Hinweis statt der
+        Fehlermeldung — die leere Zwischenlagerzeile aus `createServer` hat
+        `reachable: false` und `errorKind: null`, was sonst faelschlich als
+        "unbekannter Fehler" erschien. Nicht-Admins sehen den Knopf nicht
+        (der Poll-Endpunkt verlangt ADMIN/SUPER_ADMIN) und bekommen deshalb
+        den Text ohne Knopfverweis (260923-le6).
+      */}
+      {status && !status.lastPolledAt && (
+        <p className="mt-2 text-xs text-muted-foreground">
+          {isAdmin ? t('card.notPolledYet', { refreshLabel: t('card.refresh') }) : t('card.notPolledYetAutomatic')}
+        </p>
+      )}
+
+      {status?.lastPolledAt && !status.reachable && (
+        <div className="mt-2 space-y-1 text-sm">
+          <p className="text-destructive">
+            {errorMessage(t, status.errorKind)}
+            {status.errorDetail ? ` (${status.errorDetail})` : ''}
+          </p>
+          {status.lastOkAt && (
+            <p className="text-xs text-muted-foreground">
+              {t('card.lastOkLabel')}: {formatTimestamp(status.lastOkAt, unknown)}
+            </p>
+          )}
+        </div>
+      )}
+
+      {status?.reachable && status.metrics && (
+        <div className="mt-3">
+          <MetricsView metrics={status.metrics} unknown={unknown} />
+        </div>
+      )}
+    </div>
+  );
+}

apps/web/src/app/(portal)/modules/proxmox/layout.tsx

@@ -0,0 +1,6 @@
+import { ModuleAccessGate } from '@/components/modules/module-access-gate';
+import type { ReactNode } from 'react';
+
+export default function ProxmoxLayout({ children }: { children: ReactNode }) {
+  return <ModuleAccessGate moduleSlug="proxmox">{children}</ModuleAccessGate>;
+}

apps/web/src/app/(portal)/modules/proxmox/page.tsx

@@ -0,0 +1,108 @@
+'use client';
+
+import { useCallback, useEffect, useState } from 'react';
+import { useTranslations } from 'next-intl';
+import Link from 'next/link';
+import { useAuthStore } from '@/lib/stores/auth-store';
+import { listServers, pollServer, type ProxmoxServer } from '@/lib/proxmox-api';
+import { ServerCard } from './components/ServerCard';
+
+/**
+ * Modulseite (Aufgabe 6) — liest ausschliesslich aus dem Zwischenlager, das
+ * `GET servers` liefert; kein Live-Zugriff bei Proxmox von hier aus (D-05).
+ * "Jetzt aktualisieren" loest je Server eine Abfrage aus und laedt die
+ * Liste danach neu — waehrend des Laufs ist der Knopf gesperrt. Der Knopf
+ * erscheint nur fuer Admins, weil `POST servers/:id/poll` `@Roles(ADMIN,
+ * SUPER_ADMIN)` verlangt; fuer andere waere er wirkungslos (260923-le6).
+ */
+export default function ProxmoxPage() {
+  const t = useTranslations('proxmox');
+  const user = useAuthStore((s) => s.user);
+  const isAdmin = user?.role === 'ADMIN' || user?.role === 'SUPER_ADMIN';
+
+  const [servers, setServers] = useState<ProxmoxServer[] | null>(null);
+  const [error, setError] = useState<string | null>(null);
+  const [isRefreshing, setIsRefreshing] = useState(false);
+
+  const reload = useCallback(() => {
+    listServers()
+      .then(setServers)
+      .catch(() => setError(t('loadError')));
+  }, [t]);
+
+  useEffect(() => {
+    reload();
+  }, [reload]);
+
+  const handleRefresh = async () => {
+    if (!servers || servers.length === 0) return;
+    setIsRefreshing(true);
+    try {
+      await Promise.all(servers.map((server) => pollServer(server.id).catch(() => undefined)));
+      reload();
+    } finally {
+      setIsRefreshing(false);
+    }
+  };
+
+  return (
+    <div className="mx-auto max-w-3xl space-y-6 p-6">
+      <div className="flex items-center justify-between">
+        <div>
+          <h1 className="text-2xl font-bold tracking-tight">{t('title')}</h1>
+          <p className="mt-1 text-sm text-muted-foreground">{t('description')}</p>
+        </div>
+        <div className="flex items-center gap-3">
+          {isAdmin && servers !== null && servers.length > 0 && (
+            <button
+              type="button"
+              onClick={handleRefresh}
+              disabled={isRefreshing}
+              className="rounded border border-border px-4 py-2 text-sm text-foreground hover:bg-muted disabled:cursor-not-allowed disabled:opacity-50"
+            >
+              {isRefreshing ? t('card.refreshing') : t('card.refresh')}
+            </button>
+          )}
+          {isAdmin && (
+            <Link
+              href="/modules/proxmox/settings"
+              className="text-sm text-primary hover:underline"
+            >
+              {t('card.settingsLink')}
+            </Link>
+          )}
+        </div>
+      </div>
+
+      {error && <p className="text-sm text-destructive">{error}</p>}
+
+      {!error && servers === null && (
+        <p className="text-sm text-muted-foreground">{t('loading')}</p>
+      )}
+
+      {!error && servers !== null && servers.length === 0 && (
+        <div className="rounded-lg border border-border bg-card p-6 text-sm text-muted-foreground shadow-sm">
+          {t('emptyState')}
+          {isAdmin && (
+            <>
+              {' '}
+              <Link href="/modules/proxmox/settings" className="text-primary hover:underline">
+                {t('card.settingsLink')}
+              </Link>
+            </>
+          )}
+        </div>
+      )}
+
+      {!error && servers !== null && servers.length > 0 && (
+        <ul className="space-y-3">
+          {servers.map((server) => (
+            <li key={server.id}>
+              <ServerCard server={server} isAdmin={isAdmin} />
+            </li>
+          ))}
+        </ul>
+      )}
+    </div>
+  );
+}

apps/web/src/app/(portal)/modules/proxmox/proxmox-page-roles.test.tsx

@@ -0,0 +1,178 @@
+import { cleanup, render, screen, waitFor } from '@testing-library/react';
+import { afterEach, describe, expect, it, vi } from 'vitest';
+import type { ProxmoxServer } from '@/lib/proxmox-api';
+
+// Mock @/lib/proxmox-api — die Seite ruft `listServers` beim Laden auf,
+// "Jetzt aktualisieren" ruft `pollServer` je Server.
+const mockListServers = vi.fn();
+const mockPollServer = vi.fn();
+
+vi.mock('@/lib/proxmox-api', () => ({
+  listServers: (...args: unknown[]) => mockListServers(...args),
+  pollServer: (...args: unknown[]) => mockPollServer(...args),
+}));
+
+// Mock the auth store — mirrors settings-roles.test.tsx (selector-passthrough).
+const mockAuthStore = vi.fn();
+vi.mock('@/lib/stores/auth-store', () => ({
+  useAuthStore: (selector: (state: unknown) => unknown) => mockAuthStore(selector),
+}));
+
+vi.mock('next/link', () => ({
+  default: ({ href, children, ...rest }: { href: string; children: React.ReactNode }) => (
+    <a href={href} {...rest}>
+      {children}
+    </a>
+  ),
+}));
+
+vi.mock('next-intl', () => ({
+  useTranslations: () => (key: string, params?: Record<string, string | number>) => {
+    const translations: Record<string, string> = {
+      title: 'Proxmox',
+      description: 'Zustand Ihrer Proxmox-Server (PVE/PBS/PMG) auf einen Blick.',
+      loading: 'Lade Serverliste...',
+      loadError: 'Die Serverliste konnte nicht geladen werden.',
+      emptyState:
+        'Noch kein Server eingetragen. Legen Sie in den Moduleinstellungen einen Server an.',
+      'card.refresh': 'Jetzt aktualisieren',
+      'card.refreshing': 'Wird aktualisiert...',
+      'card.settingsLink': 'Zu den Einstellungen',
+      'card.unknownValue': 'unbekannt',
+      'card.lastPolledLabel': 'Letzte Abfrage',
+      'card.notPolledYet': 'Noch keine Abfrage gelaufen. Klicken Sie oben auf „{refreshLabel}“.',
+      'card.notPolledYetAutomatic':
+        'Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.',
+    };
+    let result = translations[key] ?? key;
+    if (params) {
+      for (const [k, v] of Object.entries(params)) {
+        result = result.replace(`{${k}}`, String(v));
+      }
+    }
+    return result;
+  },
+}));
+
+function mockUser(user: { role: 'SUPER_ADMIN' | 'ADMIN' | 'USER' } | null) {
+  mockAuthStore.mockImplementation((selector: (state: { user: typeof user }) => unknown) =>
+    selector({ user }),
+  );
+}
+
+// Ein nie abgefragter Server (wie im Befund-2-Test von ServerCard.test.tsx):
+// leere Zwischenlagerzeile direkt nach `createServer`.
+function makeUnpolledServer(overrides: Partial<ProxmoxServer> = {}): ProxmoxServer {
+  return {
+    id: 'srv-1',
+    tenantId: 't1',
+    name: 'pve-1',
+    productType: 'pve',
+    baseUrl: 'https://pve.intern',
+    authMethod: 'token',
+    tokenId: 'root@pam!x',
+    username: null,
+    tlsRejectUnauthorized: true,
+    isActive: true,
+    pollIntervalMin: 5,
+    position: 0,
+    createdAt: '2026-01-01T00:00:00.000Z',
+    updatedAt: '2026-01-01T00:00:00.000Z',
+    status: {
+      id: 's1',
+      serverId: 'srv-1',
+      lastPolledAt: null,
+      lastOkAt: null,
+      reachable: false,
+      errorKind: null,
+      errorDetail: null,
+      rawSample: null,
+      updatedAt: '2026-01-01T00:00:00.000Z',
+      metrics: null,
+    },
+    ...overrides,
+  } as ProxmoxServer;
+}
+
+afterEach(() => {
+  cleanup();
+  mockListServers.mockReset();
+  mockPollServer.mockReset();
+  mockAuthStore.mockReset();
+});
+
+describe('ProxmoxPage role gating (260923-le6)', () => {
+  it('Rolle USER: kein Knopf "Jetzt aktualisieren", Karten-Hinweis ist der automatische Text', async () => {
+    mockUser({ role: 'USER' });
+    mockListServers.mockResolvedValue([makeUnpolledServer()]);
+
+    const { default: ProxmoxPage } = await import('./page');
+    render(<ProxmoxPage />);
+
+    await screen.findByText('pve-1');
+
+    expect(screen.queryByRole('button', { name: 'Jetzt aktualisieren' })).not.toBeInTheDocument();
+    expect(
+      screen.getByText(
+        'Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.',
+      ),
+    ).toBeInTheDocument();
+  });
+
+  it('kein Benutzer geladen (user: null): kein Knopf', async () => {
+    mockUser(null);
+    mockListServers.mockResolvedValue([makeUnpolledServer()]);
+
+    const { default: ProxmoxPage } = await import('./page');
+    render(<ProxmoxPage />);
+
+    await screen.findByText('pve-1');
+
+    expect(screen.queryByRole('button', { name: 'Jetzt aktualisieren' })).not.toBeInTheDocument();
+  });
+
+  it('Rolle ADMIN: Knopf sichtbar, Karten-Hinweis ist der Admin-Text mit Knopfverweis', async () => {
+    mockUser({ role: 'ADMIN' });
+    mockListServers.mockResolvedValue([makeUnpolledServer()]);
+
+    const { default: ProxmoxPage } = await import('./page');
+    render(<ProxmoxPage />);
+
+    await screen.findByText('pve-1');
+
+    expect(screen.getByRole('button', { name: 'Jetzt aktualisieren' })).toBeInTheDocument();
+    expect(
+      screen.getByText('Noch keine Abfrage gelaufen. Klicken Sie oben auf „Jetzt aktualisieren“.'),
+    ).toBeInTheDocument();
+  });
+
+  it('Rolle SUPER_ADMIN: Knopf sichtbar', async () => {
+    mockUser({ role: 'SUPER_ADMIN' });
+    mockListServers.mockResolvedValue([makeUnpolledServer()]);
+
+    const { default: ProxmoxPage } = await import('./page');
+    render(<ProxmoxPage />);
+
+    await screen.findByText('pve-1');
+
+    expect(screen.getByRole('button', { name: 'Jetzt aktualisieren' })).toBeInTheDocument();
+  });
+
+  it('leere Serverliste bei ADMIN: weiterhin kein Knopf', async () => {
+    mockUser({ role: 'ADMIN' });
+    mockListServers.mockResolvedValue([]);
+
+    const { default: ProxmoxPage } = await import('./page');
+    render(<ProxmoxPage />);
+
+    await waitFor(() => {
+      expect(
+        screen.getByText(
+          'Noch kein Server eingetragen. Legen Sie in den Moduleinstellungen einen Server an.',
+        ),
+      ).toBeInTheDocument();
+    });
+
+    expect(screen.queryByRole('button', { name: 'Jetzt aktualisieren' })).not.toBeInTheDocument();
+  });
+});

apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.test.tsx

@@ -0,0 +1,244 @@
+import { cleanup, fireEvent, render, screen, waitFor } from '@testing-library/react';
+import { afterEach, describe, expect, it, vi } from 'vitest';
+
+const mockCreateServer = vi.fn();
+const mockUpdateServer = vi.fn();
+const mockTestServer = vi.fn();
+const mockTestDraftServer = vi.fn();
+
+vi.mock('@/lib/proxmox-api', () => ({
+  createServer: (...args: unknown[]) => mockCreateServer(...args),
+  updateServer: (...args: unknown[]) => mockUpdateServer(...args),
+  testServer: (...args: unknown[]) => mockTestServer(...args),
+  testDraftServer: (...args: unknown[]) => mockTestDraftServer(...args),
+}));
+
+vi.mock('next-intl', () => ({
+  useTranslations: () => (key: string, params?: Record<string, string>) => {
+    const translations: Record<string, string> = {
+      'settings.nameLabel': 'Name',
+      'settings.productTypeLabel': 'Typ',
+      'settings.productTypePve': 'PVE',
+      'settings.productTypePbs': 'PBS',
+      'settings.productTypePmg': 'PMG',
+      'settings.baseUrlLabel': 'Adresse',
+      'settings.authMethodLabel': 'Zugangsart',
+      'settings.authMethodToken': 'API-Token',
+      'settings.authMethodPassword': 'Benutzer/Passwort',
+      'settings.tokenIdLabel': 'Token-Kennung',
+      'settings.tokenSecretLabel': 'Token-Geheimnis',
+      'settings.usernameLabel': 'Benutzername',
+      'settings.passwordLabel': 'Passwort',
+      'settings.secretUnchangedPlaceholder': 'Leer lassen, um das gespeicherte Geheimnis beizubehalten',
+      'settings.pollIntervalLabel': 'Abfrageintervall (Minuten)',
+      'settings.tlsRejectLabel': 'Zertifikat prüfen',
+      'settings.tlsRejectHint': 'Die Ausnahme gilt nur für diesen einen Server, niemals für alle Server gemeinsam.',
+      'settings.activeLabel': 'Aktiv',
+      'settings.save': 'Speichern',
+      'settings.saving': 'Wird gespeichert...',
+      'settings.saveError': 'Die Einstellungen konnten nicht gespeichert werden.',
+      'settings.cancel': 'Abbrechen',
+      'settings.testConnection': 'Verbindung testen',
+      'settings.testTesting': 'Verbindung wird getestet...',
+      'settings.testSuccess': 'Verbindung erfolgreich.',
+      'errors.netz': 'Der Server ist nicht erreichbar.',
+      'errors.zugang': 'Der Zugang wurde abgelehnt. Bitte prüfen Sie Benutzername und Passwort beziehungsweise die Token-Angaben.',
+      'errors.rechte': 'Die Rechte reichen nicht aus.',
+      'errors.zertifikat': 'Das Zertifikat wurde abgelehnt.',
+      'errors.antwortform': 'Unerwartete Antwortform.',
+      'errors.server': 'Serverfehler.',
+      'errors.unbekannt': 'Unerwarteter Fehler.',
+    };
+    let result = translations[key] ?? key;
+    if (params) {
+      for (const [k, v] of Object.entries(params)) {
+        result = result.replace(`{${k}}`, v);
+      }
+    }
+    return result;
+  },
+}));
+
+afterEach(() => {
+  cleanup();
+  mockCreateServer.mockReset();
+  mockUpdateServer.mockReset();
+  mockTestServer.mockReset();
+  mockTestDraftServer.mockReset();
+});
+
+const EXISTING_SERVER = {
+  id: 'srv-1',
+  tenantId: 't1',
+  name: 'pmg-1',
+  productType: 'pmg' as const,
+  baseUrl: 'https://pmg.intern',
+  authMethod: 'password' as const,
+  tokenId: null,
+  username: 'admin@pmg',
+  tlsRejectUnauthorized: true,
+  isActive: true,
+  pollIntervalMin: 5,
+  position: 0,
+  createdAt: '2026-01-01T00:00:00.000Z',
+  updatedAt: '2026-01-01T00:00:00.000Z',
+  status: null,
+};
+
+describe('ServerForm', () => {
+  it('bei Typ pmg erscheint die Auswahl "API-Token" gar nicht', async () => {
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={EXISTING_SERVER} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    const authSelect = screen.getByLabelText('Zugangsart') as HTMLSelectElement;
+    const options = [...authSelect.options].map((o) => o.value);
+    expect(options).toEqual(['password']);
+  });
+
+  it('bei pve/pbs mit Token erscheinen Token-Kennung und -Geheimnis; bei Passwort Benutzer und Passwort', async () => {
+    const { ServerForm } = await import('./ServerForm');
+    const pveServer = { ...EXISTING_SERVER, productType: 'pve' as const, authMethod: 'token' as const };
+    render(<ServerForm server={pveServer} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    expect(screen.getByLabelText('Token-Kennung')).toBeInTheDocument();
+    expect(screen.getByLabelText('Token-Geheimnis')).toBeInTheDocument();
+    expect(screen.queryByLabelText('Benutzername')).not.toBeInTheDocument();
+
+    fireEvent.change(screen.getByLabelText('Zugangsart'), { target: { value: 'password' } });
+
+    expect(screen.getByLabelText('Benutzername')).toBeInTheDocument();
+    expect(screen.getByLabelText('Passwort')).toBeInTheDocument();
+    expect(screen.queryByLabelText('Token-Kennung')).not.toBeInTheDocument();
+  });
+
+  it('ein gespeichertes Geheimnis wird nie im Klartext angezeigt — das Feld ist leer', async () => {
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={EXISTING_SERVER} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    const passwordInput = screen.getByLabelText('Passwort') as HTMLInputElement;
+    expect(passwordInput.value).toBe('');
+  });
+
+  it('ein leer gelassenes Geheimnisfeld sendet kein password-Feld beim Speichern (Wert bleibt unveraendert)', async () => {
+    mockUpdateServer.mockResolvedValue(EXISTING_SERVER);
+    const onSaved = vi.fn();
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={EXISTING_SERVER} isAdmin onSaved={onSaved} onCancel={vi.fn()} />);
+
+    fireEvent.click(screen.getByText('Speichern'));
+
+    await waitFor(() => expect(mockUpdateServer).toHaveBeenCalled());
+    const payload = mockUpdateServer.mock.calls[0][1];
+    expect(payload.password).toBeUndefined();
+  });
+
+  it('der Schalter fuer die Zertifikatspruefung steht beim Anlegen auf "pruefen" mit Hinweistext', async () => {
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={null} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    const checkbox = screen.getByLabelText('Zertifikat prüfen') as HTMLInputElement;
+    expect(checkbox.checked).toBe(true);
+    expect(
+      screen.getByText('Die Ausnahme gilt nur für diesen einen Server, niemals für alle Server gemeinsam.'),
+    ).toBeInTheDocument();
+  });
+
+  it('Verbindung testen zeigt bei Erfolg eine gruene Bestaetigung', async () => {
+    mockTestServer.mockResolvedValue({
+      reachable: true,
+      errorKind: null,
+      errorDetail: null,
+      metrics: null,
+      rawSample: null,
+    });
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={EXISTING_SERVER} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    fireEvent.click(screen.getByText('Verbindung testen'));
+
+    await waitFor(() => expect(screen.getByText('Verbindung erfolgreich.')).toBeInTheDocument());
+  });
+
+  it('Verbindung testen zeigt bei Misserfolg den Klartext der Ursache', async () => {
+    mockTestServer.mockResolvedValue({
+      reachable: false,
+      errorKind: 'zugang',
+      errorDetail: null,
+      metrics: null,
+      rawSample: null,
+    });
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={EXISTING_SERVER} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    fireEvent.click(screen.getByText('Verbindung testen'));
+
+    await waitFor(() =>
+      expect(
+        screen.getByText(
+          'Der Zugang wurde abgelehnt. Bitte prüfen Sie Benutzername und Passwort beziehungsweise die Token-Angaben.',
+        ),
+      ).toBeInTheDocument(),
+    );
+  });
+
+  it('Nachbesserung Befund 1: bei der Neuanlage (kein gespeicherter Server) steht der Testen-Knopf zur Verfuegung und ruft den Neuanlage-Testweg auf', async () => {
+    mockTestDraftServer.mockResolvedValue({
+      reachable: true,
+      errorKind: null,
+      errorDetail: null,
+      metrics: null,
+      rawSample: null,
+    });
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={null} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    fireEvent.change(screen.getByLabelText('Adresse'), {
+      target: { value: 'https://pve.neu:8006' },
+    });
+    fireEvent.click(screen.getByText('Verbindung testen'));
+
+    await waitFor(() => expect(mockTestDraftServer).toHaveBeenCalled());
+    expect(mockTestServer).not.toHaveBeenCalled();
+    await waitFor(() => expect(screen.getByText('Verbindung erfolgreich.')).toBeInTheDocument());
+  });
+
+  it('Nachbesserung Befund 1: der Test prueft die im Formular abgeschaltete Zertifikatspruefung, nicht den gespeicherten Stand', async () => {
+    mockTestServer.mockResolvedValue({
+      reachable: true,
+      errorKind: null,
+      errorDetail: null,
+      metrics: null,
+      rawSample: null,
+    });
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={EXISTING_SERVER} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    // EXISTING_SERVER wurde MIT Zertifikatspruefung gespeichert — im Formular jetzt abschalten.
+    fireEvent.click(screen.getByLabelText('Zertifikat prüfen'));
+    fireEvent.click(screen.getByText('Verbindung testen'));
+
+    await waitFor(() => expect(mockTestServer).toHaveBeenCalled());
+    const [, payload] = mockTestServer.mock.calls[0];
+    // Ohne die Korrektur wuerde `testServer` ganz ohne Formularstand aufgerufen — roter Test.
+    expect(payload.tlsRejectUnauthorized).toBe(false);
+  });
+
+  it('Nachbesserung Befund 1: ein leer gelassenes Geheimnisfeld sendet beim Testen kein tokenSecret (gespeicherter Wert bleibt massgeblich)', async () => {
+    mockTestServer.mockResolvedValue({
+      reachable: true,
+      errorKind: null,
+      errorDetail: null,
+      metrics: null,
+      rawSample: null,
+    });
+    const pveServer = { ...EXISTING_SERVER, productType: 'pve' as const, authMethod: 'token' as const };
+    const { ServerForm } = await import('./ServerForm');
+    render(<ServerForm server={pveServer} isAdmin onSaved={vi.fn()} onCancel={vi.fn()} />);
+
+    fireEvent.click(screen.getByText('Verbindung testen'));
+
+    await waitFor(() => expect(mockTestServer).toHaveBeenCalled());
+    const [, payload] = mockTestServer.mock.calls[0];
+    expect(payload.tokenSecret).toBeUndefined();
+  });
+});

apps/web/src/app/(portal)/modules/proxmox/settings/components/ServerForm.tsx

@@ -0,0 +1,402 @@
+'use client';
+
+import { useCallback, useState } from 'react';
+import { useTranslations } from 'next-intl';
+import {
+  createServer,
+  testDraftServer,
+  testServer,
+  updateServer,
+  type ProxmoxAuthMethod,
+  type ProxmoxProductType,
+  type ProxmoxServer,
+  type ProxmoxTestResult,
+} from '@/lib/proxmox-api';
+
+interface FormState {
+  name: string;
+  productType: ProxmoxProductType;
+  baseUrl: string;
+  authMethod: ProxmoxAuthMethod;
+  tokenId: string;
+  tokenSecret: string; // absichtlich leer beim Laden — nie aus dem Server vorbefuellt
+  username: string;
+  password: string; // absichtlich leer beim Laden — nie aus dem Server vorbefuellt
+  pollIntervalMin: string;
+  tlsRejectUnauthorized: boolean;
+  isActive: boolean;
+}
+
+function serverToForm(server: ProxmoxServer | null): FormState {
+  if (!server) {
+    return {
+      name: '',
+      productType: 'pve',
+      baseUrl: '',
+      authMethod: 'token',
+      tokenId: '',
+      tokenSecret: '',
+      username: '',
+      password: '',
+      pollIntervalMin: '5',
+      tlsRejectUnauthorized: true,
+      isActive: true,
+    };
+  }
+  return {
+    name: server.name,
+    productType: server.productType,
+    baseUrl: server.baseUrl,
+    authMethod: server.authMethod,
+    tokenId: server.tokenId ?? '',
+    tokenSecret: '',
+    username: server.username ?? '',
+    password: '',
+    pollIntervalMin: String(server.pollIntervalMin),
+    tlsRejectUnauthorized: server.tlsRejectUnauthorized,
+    isActive: server.isActive,
+  };
+}
+
+interface ServerFormProps {
+  server: ProxmoxServer | null;
+  isAdmin: boolean;
+  onSaved: (server: ProxmoxServer) => void;
+  onCancel: () => void;
+}
+
+/**
+ * Server anlegen/bearbeiten (Aufgabe 5). Bei Typ `pmg` bietet die Auswahl
+ * "API-Token" gar nicht erst an (D-03) — serverseitig lehnt das DTO diese
+ * Kombination zusaetzlich ab (Verteidigung in der Tiefe). Ein gespeichertes
+ * Geheimnis wird nie im Klartext angezeigt: das Feld ist leer, ein leer
+ * gelassenes Feld laesst den gespeicherten Wert unveraendert.
+ */
+export function ServerForm({ server, isAdmin, onSaved, onCancel }: ServerFormProps) {
+  const t = useTranslations('proxmox');
+  const [form, setForm] = useState<FormState>(() => serverToForm(server));
+  const [savedServer, setSavedServer] = useState<ProxmoxServer | null>(server);
+  const [isSaving, setIsSaving] = useState(false);
+  const [isTesting, setIsTesting] = useState(false);
+  const [saveError, setSaveError] = useState<string | null>(null);
+  const [testResult, setTestResult] = useState<ProxmoxTestResult | null>(null);
+
+  const update = useCallback(
+    <K extends keyof FormState>(key: K, value: FormState[K]) => {
+      setForm((f) => ({ ...f, [key]: value }));
+      setSaveError(null);
+      setTestResult(null);
+    },
+    [],
+  );
+
+  const handleProductTypeChange = (productType: ProxmoxProductType) => {
+    setForm((f) => ({
+      ...f,
+      productType,
+      // PMG kennt keinen Token — bei Wechsel auf PMG automatisch auf Passwort umstellen.
+      authMethod: productType === 'pmg' ? 'password' : f.authMethod,
+    }));
+    setSaveError(null);
+    setTestResult(null);
+  };
+
+  const buildPayload = () => ({
+    name: form.name,
+    productType: form.productType,
+    baseUrl: form.baseUrl,
+    authMethod: form.authMethod,
+    tokenId: form.authMethod === 'token' ? form.tokenId : undefined,
+    tokenSecret: form.authMethod === 'token' && form.tokenSecret ? form.tokenSecret : undefined,
+    username: form.authMethod === 'password' ? form.username : undefined,
+    password: form.authMethod === 'password' && form.password ? form.password : undefined,
+    pollIntervalMin: Number(form.pollIntervalMin) || 5,
+    tlsRejectUnauthorized: form.tlsRejectUnauthorized,
+    isActive: form.isActive,
+  });
+
+  /**
+   * Wie `buildPayload()`, aber OHNE `name` (Nachbesserung Befund 1): der
+   * Verbindungstest braucht den Namen nicht, und ein waehrend der Neuanlage
+   * noch leer gelassenes Namensfeld wuerde sonst die serverseitige
+   * `@IsNotEmpty()`-Pruefung auf `name` bei jedem Testklick blockieren.
+   */
+  const buildTestPayload = () => {
+    const { name: _name, ...rest } = buildPayload();
+    return rest;
+  };
+
+  const handleSave = async () => {
+    setIsSaving(true);
+    setSaveError(null);
+    try {
+      const result = savedServer
+        ? await updateServer(savedServer.id, buildPayload())
+        : await createServer(buildPayload());
+      setSavedServer(result);
+      setForm(serverToForm(result));
+      onSaved(result);
+    } catch (err) {
+      setSaveError(err instanceof Error ? err.message : t('settings.saveError'));
+    } finally {
+      setIsSaving(false);
+    }
+  };
+
+  const handleTest = async () => {
+    setIsTesting(true);
+    setTestResult(null);
+    try {
+      // Nachbesserung Befund 1: der Test prueft immer den aktuellen
+      // Formularstand (`buildPayload()`), nie nur den gespeicherten Stand.
+      // Ein leer gelassenes Geheimnisfeld wird dabei als `undefined`
+      // gesendet — der Server faellt dann auf den gespeicherten Wert
+      // zurueck (siehe `ProxmoxService.resolveEffectiveTestServer`).
+      const result = savedServer
+        ? await testServer(savedServer.id, buildTestPayload())
+        : await testDraftServer(buildTestPayload());
+      setTestResult(result);
+    } catch (err) {
+      setTestResult({
+        reachable: false,
+        errorKind: 'unbekannt',
+        errorDetail: err instanceof Error ? err.message : t('settings.saveError'),
+        metrics: null,
+        rawSample: null,
+      });
+    } finally {
+      setIsTesting(false);
+    }
+  };
+
+  const inputCls =
+    'h-9 w-full max-w-md rounded border border-border bg-background px-3 text-sm text-foreground disabled:opacity-50';
+  const labelCls = 'mb-1 block text-sm text-foreground';
+
+  const errorMessage = (kind: ProxmoxTestResult['errorKind']) => {
+    if (!kind) return null;
+    return t(`errors.${kind}`);
+  };
+
+  return (
+    <div className="space-y-4 rounded-lg border border-border bg-card p-4 shadow-sm">
+      <div>
+        <label htmlFor="proxmox-name" className={labelCls}>
+          {t('settings.nameLabel')}
+        </label>
+        <input
+          id="proxmox-name"
+          type="text"
+          className={inputCls}
+          value={form.name}
+          disabled={!isAdmin}
+          onChange={(e) => update('name', e.target.value)}
+        />
+      </div>
+
+      <div>
+        <label htmlFor="proxmox-product-type" className={labelCls}>
+          {t('settings.productTypeLabel')}
+        </label>
+        <select
+          id="proxmox-product-type"
+          className={inputCls}
+          value={form.productType}
+          disabled={!isAdmin}
+          onChange={(e) => handleProductTypeChange(e.target.value as ProxmoxProductType)}
+        >
+          <option value="pve">{t('settings.productTypePve')}</option>
+          <option value="pbs">{t('settings.productTypePbs')}</option>
+          <option value="pmg">{t('settings.productTypePmg')}</option>
+        </select>
+      </div>
+
+      <div>
+        <label htmlFor="proxmox-base-url" className={labelCls}>
+          {t('settings.baseUrlLabel')}
+        </label>
+        <input
+          id="proxmox-base-url"
+          type="text"
+          placeholder="https://pve.intern:8006"
+          className={inputCls}
+          value={form.baseUrl}
+          disabled={!isAdmin}
+          onChange={(e) => update('baseUrl', e.target.value)}
+        />
+      </div>
+
+      <div>
+        <label htmlFor="proxmox-auth-method" className={labelCls}>
+          {t('settings.authMethodLabel')}
+        </label>
+        <select
+          id="proxmox-auth-method"
+          className={inputCls}
+          value={form.authMethod}
+          disabled={!isAdmin}
+          onChange={(e) => update('authMethod', e.target.value as ProxmoxAuthMethod)}
+        >
+          {/* D-03: PMG kennt keinen API-Token — die Auswahl bietet ihn bei diesem Typ gar nicht erst an. */}
+          {form.productType !== 'pmg' && <option value="token">{t('settings.authMethodToken')}</option>}
+          <option value="password">{t('settings.authMethodPassword')}</option>
+        </select>
+      </div>
+
+      {form.authMethod === 'token' ? (
+        <>
+          <div>
+            <label htmlFor="proxmox-token-id" className={labelCls}>
+              {t('settings.tokenIdLabel')}
+            </label>
+            <input
+              id="proxmox-token-id"
+              type="text"
+              placeholder="root@pam!tessera"
+              className={inputCls}
+              value={form.tokenId}
+              disabled={!isAdmin}
+              onChange={(e) => update('tokenId', e.target.value)}
+            />
+          </div>
+          <div>
+            <label htmlFor="proxmox-token-secret" className={labelCls}>
+              {t('settings.tokenSecretLabel')}
+            </label>
+            <input
+              id="proxmox-token-secret"
+              type="password"
+              placeholder={savedServer ? t('settings.secretUnchangedPlaceholder') : ''}
+              className={inputCls}
+              value={form.tokenSecret}
+              disabled={!isAdmin}
+              onChange={(e) => update('tokenSecret', e.target.value)}
+            />
+          </div>
+        </>
+      ) : (
+        <>
+          <div>
+            <label htmlFor="proxmox-username" className={labelCls}>
+              {t('settings.usernameLabel')}
+            </label>
+            <input
+              id="proxmox-username"
+              type="text"
+              placeholder="admin@pam"
+              className={inputCls}
+              value={form.username}
+              disabled={!isAdmin}
+              onChange={(e) => update('username', e.target.value)}
+            />
+          </div>
+          <div>
+            <label htmlFor="proxmox-password" className={labelCls}>
+              {t('settings.passwordLabel')}
+            </label>
+            <input
+              id="proxmox-password"
+              type="password"
+              placeholder={savedServer ? t('settings.secretUnchangedPlaceholder') : ''}
+              className={inputCls}
+              value={form.password}
+              disabled={!isAdmin}
+              onChange={(e) => update('password', e.target.value)}
+            />
+          </div>
+        </>
+      )}
+
+      <div>
+        <label htmlFor="proxmox-poll-interval" className={labelCls}>
+          {t('settings.pollIntervalLabel')}
+        </label>
+        <input
+          id="proxmox-poll-interval"
+          type="number"
+          min={1}
+          max={1440}
+          className={inputCls}
+          value={form.pollIntervalMin}
+          disabled={!isAdmin}
+          onChange={(e) => update('pollIntervalMin', e.target.value)}
+        />
+      </div>
+
+      <div>
+        <label htmlFor="proxmox-tls-reject" className="flex items-center gap-2 text-sm text-foreground">
+          <input
+            id="proxmox-tls-reject"
+            type="checkbox"
+            checked={form.tlsRejectUnauthorized}
+            disabled={!isAdmin}
+            onChange={(e) => update('tlsRejectUnauthorized', e.target.checked)}
+          />
+          {t('settings.tlsRejectLabel')}
+        </label>
+        <p className="mt-1 text-xs text-muted-foreground">{t('settings.tlsRejectHint')}</p>
+      </div>
+
+      <div>
+        <label htmlFor="proxmox-active" className="flex items-center gap-2 text-sm text-foreground">
+          <input
+            id="proxmox-active"
+            type="checkbox"
+            checked={form.isActive}
+            disabled={!isAdmin}
+            onChange={(e) => update('isActive', e.target.checked)}
+          />
+          {t('settings.activeLabel')}
+        </label>
+      </div>
+
+      {saveError && <p className="text-sm text-destructive">{saveError}</p>}
+
+      {testResult && (
+        <p
+          className={`text-sm ${testResult.reachable ? 'text-green-600 dark:text-green-400' : 'text-destructive'}`}
+        >
+          {testResult.reachable
+            ? t('settings.testSuccess')
+            : `${errorMessage(testResult.errorKind)}${testResult.errorDetail ? ` (${testResult.errorDetail})` : ''}`}
+        </p>
+      )}
+
+      {isAdmin && (
+        <div className="flex flex-wrap items-center gap-3">
+          <button
+            type="button"
+            onClick={handleSave}
+            disabled={isSaving || !form.name || !form.baseUrl}
+            className="rounded bg-primary px-4 py-2 text-sm font-medium text-primary-foreground hover:bg-primary/90 disabled:opacity-50 disabled:cursor-not-allowed"
+          >
+            {isSaving ? t('settings.saving') : t('settings.save')}
+          </button>
+
+          {/*
+            Nachbesserung Befund 1: der Testen-Knopf steht IMMER zur
+            Verfuegung, auch waehrend der Neuanlage vor dem ersten Speichern
+            (vorher: nur bei `savedServer`) — `handleTest` waehlt selbst den
+            passenden Endpunkt (`testServer` vs. `testDraftServer`).
+          */}
+          <button
+            type="button"
+            onClick={handleTest}
+            disabled={isTesting || !form.baseUrl}
+            className="rounded border border-border px-4 py-2 text-sm text-foreground hover:bg-muted disabled:opacity-50 disabled:cursor-not-allowed"
+          >
+            {isTesting ? t('settings.testTesting') : t('settings.testConnection')}
+          </button>
+
+          <button
+            type="button"
+            onClick={onCancel}
+            className="rounded px-4 py-2 text-sm text-muted-foreground hover:bg-muted"
+          >
+            {t('settings.cancel')}
+          </button>
+        </div>
+      )}
+    </div>
+  );
+}

apps/web/src/app/(portal)/modules/proxmox/settings/page.tsx

@@ -0,0 +1,197 @@
+'use client';
+
+import { useCallback, useEffect, useState } from 'react';
+import { useTranslations } from 'next-intl';
+import { useAuthStore } from '@/lib/stores/auth-store';
+import { deleteServer, listServers, type ProxmoxServer } from '@/lib/proxmox-api';
+import { ServerForm } from './components/ServerForm';
+
+interface DeleteDialogProps {
+  name: string;
+  isDeleting: boolean;
+  onConfirm: () => void;
+  onCancel: () => void;
+}
+
+function DeleteDialog({ name, isDeleting, onConfirm, onCancel }: DeleteDialogProps) {
+  const t = useTranslations('proxmox');
+  return (
+    <div className="fixed inset-0 z-50 flex items-center justify-center bg-black/40">
+      <div className="w-full max-w-sm rounded border border-border bg-card px-6 py-5 shadow-lg">
+        <h3 className="mb-2 text-base font-semibold text-foreground">
+          {t('settings.deleteConfirmTitle')}
+        </h3>
+        <p className="mb-5 text-sm text-muted-foreground">
+          {t('settings.deleteConfirmBody', { name })}
+        </p>
+        <div className="flex justify-end gap-3">
+          <button
+            type="button"
+            onClick={onCancel}
+            disabled={isDeleting}
+            className="rounded border border-border px-4 py-2 text-sm text-foreground hover:bg-muted disabled:cursor-not-allowed disabled:opacity-50"
+          >
+            {t('settings.deleteCancelButton')}
+          </button>
+          <button
+            type="button"
+            onClick={onConfirm}
+            disabled={isDeleting}
+            className="rounded bg-destructive px-4 py-2 text-sm font-medium text-destructive-foreground hover:bg-destructive/90 disabled:cursor-not-allowed disabled:opacity-50"
+          >
+            {t('settings.deleteConfirmButton')}
+          </button>
+        </div>
+      </div>
+    </div>
+  );
+}
+
+/**
+ * Moduleinstellungen (Aufgabe 5) — ADMINISTRATION ONLY. Die Rollenpruefung
+ * hier ist reine Anzeige (Ladezustand solange die Rolle unbekannt ist,
+ * damit die Verwaltungsteile fuer einen normalen Benutzer nie kurz
+ * aufblitzen) — der verbindliche Riegel liegt serverseitig
+ * (`@Roles(ADMIN, SUPER_ADMIN)` auf jedem Schreibweg, Vorbild
+ * `tender-radar/settings/page.tsx`).
+ */
+export default function ProxmoxSettingsPage() {
+  const t = useTranslations('proxmox');
+  const user = useAuthStore((s) => s.user);
+  const isAdmin = user?.role === 'ADMIN' || user?.role === 'SUPER_ADMIN';
+
+  const [servers, setServers] = useState<ProxmoxServer[] | null>(null);
+  const [editingId, setEditingId] = useState<string | 'new' | null>(null);
+  const [deleteTarget, setDeleteTarget] = useState<ProxmoxServer | null>(null);
+  const [isDeleting, setIsDeleting] = useState(false);
+  const [loadError, setLoadError] = useState<string | null>(null);
+
+  const reload = useCallback(() => {
+    listServers()
+      .then(setServers)
+      .catch(() => setLoadError(t('loadError')));
+  }, [t]);
+
+  useEffect(() => {
+    reload();
+  }, [reload]);
+
+  const handleSaved = () => {
+    setEditingId(null);
+    reload();
+  };
+
+  const confirmDelete = async () => {
+    if (!deleteTarget) return;
+    setIsDeleting(true);
+    try {
+      await deleteServer(deleteTarget.id);
+      setDeleteTarget(null);
+      reload();
+    } finally {
+      setIsDeleting(false);
+    }
+  };
+
+  if (user === null) {
+    return (
+      <div className="mx-auto max-w-2xl p-6">
+        <div className="mb-6 h-8 w-64 animate-pulse rounded bg-muted" />
+        <div className="h-40 animate-pulse rounded bg-muted" />
+      </div>
+    );
+  }
+
+  if (!isAdmin) {
+    return (
+      <div className="mx-auto max-w-2xl p-6">
+        <h1 className="mb-4 text-2xl font-semibold tracking-tight">{t('settings.title')}</h1>
+        <p className="text-sm text-muted-foreground">{t('settings.accessDeniedText')}</p>
+      </div>
+    );
+  }
+
+  return (
+    <div className="mx-auto max-w-2xl space-y-6 p-6">
+      <div className="flex items-center justify-between">
+        <h1 className="text-2xl font-semibold tracking-tight">{t('settings.title')}</h1>
+        {editingId === null && (
+          <button
+            type="button"
+            onClick={() => setEditingId('new')}
+            className="rounded bg-primary px-4 py-2 text-sm font-medium text-primary-foreground hover:bg-primary/90"
+          >
+            {t('settings.addServer')}
+          </button>
+        )}
+      </div>
+
+      {loadError && <p className="text-sm text-destructive">{loadError}</p>}
+
+      {editingId === 'new' && (
+        <ServerForm
+          server={null}
+          isAdmin={isAdmin}
+          onSaved={handleSaved}
+          onCancel={() => setEditingId(null)}
+        />
+      )}
+
+      {servers !== null && servers.length === 0 && editingId === null && (
+        <p className="text-sm text-muted-foreground">{t('settings.noServers')}</p>
+      )}
+
+      <ul className="space-y-3">
+        {servers?.map((server) =>
+          editingId === server.id ? (
+            <li key={server.id}>
+              <ServerForm
+                server={server}
+                isAdmin={isAdmin}
+                onSaved={handleSaved}
+                onCancel={() => setEditingId(null)}
+              />
+            </li>
+          ) : (
+            <li
+              key={server.id}
+              className="flex items-center justify-between rounded-lg border border-border bg-card p-4 shadow-sm"
+            >
+              <div>
+                <div className="font-medium">{server.name}</div>
+                <div className="text-sm text-muted-foreground">
+                  {server.productType.toUpperCase()} — {server.baseUrl}
+                </div>
+              </div>
+              <div className="flex gap-2">
+                <button
+                  type="button"
+                  onClick={() => setEditingId(server.id)}
+                  className="rounded border border-border px-3 py-1.5 text-sm text-foreground hover:bg-muted"
+                >
+                  {t('settings.edit')}
+                </button>
+                <button
+                  type="button"
+                  onClick={() => setDeleteTarget(server)}
+                  className="rounded border border-destructive px-3 py-1.5 text-sm text-destructive hover:bg-destructive/10"
+                >
+                  {t('settings.delete')}
+                </button>
+              </div>
+            </li>
+          ),
+        )}
+      </ul>
+
+      {deleteTarget && (
+        <DeleteDialog
+          name={deleteTarget.name}
+          isDeleting={isDeleting}
+          onConfirm={confirmDelete}
+          onCancel={() => setDeleteTarget(null)}
+        />
+      )}
+    </div>
+  );
+}

apps/web/src/app/(portal)/page.test.tsx

@@ -20,6 +20,12 @@ vi.mock('next-intl', () => ({
 }));
 
 const mockStore = {
+  // quick-260923-ad9: Reiter — leere Liste rendert die Reiterleiste ohne
+  // Reiter-Knoepfe, damit diese Datei bei den bestehenden Zusammensetzungs-
+  // Pruefungen bleibt, statt den Reiter-Speicher selbst nachzubauen.
+  dashboards: [] as Array<{ id: string; name: string; position: number }>,
+  activeDashboardId: null as string | null,
+  isSwitchingDashboard: false,
   layouts: { lg: [], md: [], sm: [], xs: [], xxs: [] },
   widgets: [] as Array<{ id: string; widgetType: string; config: Record<string, unknown> }>,
   isEditMode: false,
@@ -32,6 +38,11 @@ const mockStore = {
   removeWidget: vi.fn(),
   loadDashboard: vi.fn(),
   saveLayout: vi.fn(),
+  selectDashboard: vi.fn(),
+  createDashboard: vi.fn(),
+  renameDashboard: vi.fn(),
+  deleteDashboard: vi.fn(),
+  reorderDashboards: vi.fn(),
 };
 
 vi.mock('@/lib/stores/dashboard-store', () => ({

apps/web/src/app/(portal)/page.tsx

@@ -3,6 +3,7 @@
 import { useCallback, useEffect, useState } from 'react';
 import { useTranslations } from 'next-intl';
 import { DashboardGrid } from '@/components/dashboard/dashboard-grid';
+import { DashboardTabs } from '@/components/dashboard/dashboard-tabs';
 import { EditModeToggle } from '@/components/dashboard/edit-mode-toggle';
 import { WidgetCatalogModal } from '@/components/dashboard/widget-catalog-modal';
 import { registerWidget } from '@/components/dashboard/widget-registry';
@@ -48,6 +49,9 @@ export default function DashboardPage() {
   const [accessibleModuleSlugs, setAccessibleModuleSlugs] = useState<string[] | null>(null);
 
   const {
+    dashboards,
+    activeDashboardId,
+    isSwitchingDashboard,
     layouts,
     widgets,
     isEditMode,
@@ -58,6 +62,11 @@ export default function DashboardPage() {
     addWidget,
     removeWidget,
     loadDashboard,
+    selectDashboard,
+    createDashboard,
+    renameDashboard,
+    deleteDashboard,
+    reorderDashboards,
   } = useDashboardStore();
 
   // Load dashboard data on mount
@@ -105,15 +114,35 @@ export default function DashboardPage() {
 
   return (
     <div className="relative p-2">
-      {/* Dashboard grid — direkt im Container, ohne Abstands-Wrapper. */}
-      <DashboardGrid
-        layouts={layouts}
-        widgets={widgets}
+      {/* Reiterleiste (quick-260923-ad9) — bleibt waehrend eines
+          Reiterwechsels stehen, nur das Raster darunter zeigt eine kurze
+          Ladezeile. */}
+      <DashboardTabs
+        dashboards={dashboards}
+        activeDashboardId={activeDashboardId}
         isEditMode={isEditMode}
-        onLayoutChange={updateLayouts}
-        onRemoveWidget={removeWidget}
+        onSelect={selectDashboard}
+        onCreate={createDashboard}
+        onRename={renameDashboard}
+        onDelete={deleteDashboard}
+        onReorder={reorderDashboards}
       />
 
+      {isSwitchingDashboard ? (
+        <div className="flex min-h-[40vh] items-center justify-center">
+          <p className="text-sm text-muted-foreground">{t('tabs.switching')}</p>
+        </div>
+      ) : (
+        /* Dashboard grid — direkt im Container, ohne Abstands-Wrapper. */
+        <DashboardGrid
+          layouts={layouts}
+          widgets={widgets}
+          isEditMode={isEditMode}
+          onLayoutChange={updateLayouts}
+          onRemoveWidget={removeWidget}
+        />
+      )}
+
       {/* Feste Aktionsleiste unten rechts.
           quick-260916-dyv: Umschalter unten rechts statt oben rechts, damit das
           Grid direkt unter der Kopfzeile beginnt (12 + 8 + 8 = 28 px statt 60 px).

apps/web/src/app/(portal)/settings/dashboard/page.tsx

@@ -3,11 +3,20 @@
 import { useEffect, useState } from 'react';
 import { useTranslations } from 'next-intl';
 import { WidgetSettingsPanel } from '@/components/settings/widget-settings-panel';
-import { fetchWidgets } from '@/lib/dashboard-api';
+import { fetchDashboards, fetchWidgets } from '@/lib/dashboard-api';
 
 /**
  * Settings > Dashboard > Widgets page (D-03).
- * Fetches user's widget instances and renders per-instance config forms.
+ * Fetches the widget instances of the user's FIRST dashboard tab (the
+ * standard tab, quick-260923-ad9) and renders per-instance config forms.
+ *
+ * quick-260923-ad9 (Task 3, deviation Rule 3 — blocking compile issue):
+ * `fetchWidgets` now requires a `dashboardId` since widgets are scoped per
+ * tab. This page is not itself tab-aware (out of this plan's scope — see
+ * "Nicht im Umfang") and previously showed every widget the user had, back
+ * when there was exactly one dashboard per user; it now shows the first
+ * tab's widgets, which is the same set for the (overwhelmingly common)
+ * case of a user who has not yet created a second tab.
  */
 export default function WidgetSettingsPage() {
   const t = useTranslations('settings');
@@ -18,12 +27,17 @@ export default function WidgetSettingsPage() {
   const [isLoading, setIsLoading] = useState(true);
 
   useEffect(() => {
-    fetchWidgets()
-      .then(setWidgets)
-      .catch(() => {
+    (async () => {
+      try {
+        const dashboards = await fetchDashboards();
+        const first = dashboards[0];
+        setWidgets(first ? await fetchWidgets(first.id) : []);
+      } catch {
         // Silent fail — empty widget list shown
-      })
-      .finally(() => setIsLoading(false));
+      } finally {
+        setIsLoading(false);
+      }
+    })();
   }, []);
 
   return (

apps/web/src/components/dashboard/dashboard-tabs.test.tsx

@@ -0,0 +1,343 @@
+import { cleanup, fireEvent, render, screen, within } from '@testing-library/react';
+import { afterEach, describe, expect, it, vi } from 'vitest';
+
+/**
+ * Mock next-intl mit einfacher `{param}`-Ersetzung — anders als das
+ * schlichtere Muster in `widget-catalog-modal.test.tsx` (das Parameter
+ * ignoriert), weil Test 8 unten die eingesetzte Reiterbezeichnung im
+ * Loeschdialog prueft.
+ */
+vi.mock('next-intl', () => ({
+  useTranslations: (namespace: string) => (key: string, params?: Record<string, string>) => {
+    const translations: Record<string, Record<string, string>> = {
+      widgets: {
+        'tabs.navLabel': 'Dashboard-Reiter',
+        'tabs.add': 'Dashboard hinzufügen',
+        'tabs.renameButtonLabel': 'Dashboard umbenennen',
+        'tabs.renameInputLabel': 'Name des Dashboards',
+        'tabs.deleteButtonLabel': 'Dashboard löschen',
+        'tabs.deleteDialogTitle': 'Dashboard löschen',
+        'tabs.deleteDialogBody': 'Möchten Sie das Dashboard „{name}“ wirklich löschen?',
+        'tabs.dragHint': 'Ziehen Sie einen Reiter, um ihn zum Standard zu machen.',
+      },
+      common: {
+        cancel: 'Abbrechen',
+        delete: 'Löschen',
+      },
+    };
+    let text = translations[namespace]?.[key] ?? key;
+    if (params) {
+      for (const [k, v] of Object.entries(params)) {
+        text = text.replace(`{${k}}`, v);
+      }
+    }
+    return text;
+  },
+}));
+
+import { DashboardTabs } from './dashboard-tabs';
+
+const DASHBOARDS = [
+  { id: 'd1', name: 'Dashboard', position: 0 },
+  { id: 'd2', name: 'Dashboard 2', position: 1 },
+];
+
+const THREE_DASHBOARDS = [
+  { id: 'd1', name: 'Dashboard', position: 0 },
+  { id: 'd2', name: 'Dashboard 2', position: 1 },
+  { id: 'd3', name: 'Dashboard 3', position: 2 },
+];
+
+/**
+ * Stubbt `getBoundingClientRect` fuer JEDEN Reiter-Wrapper so, dass Reiter i
+ * (nach seiner AKTUELLEN Stelle im DOM, `data-tab-index`) die Spanne von
+ * i·100 bis i·100+100 belegt — echte Masse liefert jsdom hier nicht (Plan-
+ * Vorgabe, Task 4). Die Zeigerpositionen der Tests unten rechnen gegen
+ * genau diese Spannen.
+ */
+function stubTabRects() {
+  vi.spyOn(HTMLDivElement.prototype, 'getBoundingClientRect').mockImplementation(function (
+    this: HTMLDivElement,
+  ) {
+    const idx = Number(this.dataset.tabIndex ?? '0');
+    return {
+      x: idx * 100,
+      y: 0,
+      left: idx * 100,
+      top: 0,
+      right: idx * 100 + 100,
+      bottom: 32,
+      width: 100,
+      height: 32,
+      toJSON() {
+        return {};
+      },
+    } as DOMRect;
+  });
+}
+
+function defaultProps(overrides: Partial<Parameters<typeof DashboardTabs>[0]> = {}) {
+  return {
+    dashboards: DASHBOARDS,
+    activeDashboardId: 'd1',
+    isEditMode: false,
+    onSelect: vi.fn(),
+    onCreate: vi.fn(),
+    onRename: vi.fn(),
+    onDelete: vi.fn(),
+    onReorder: vi.fn(),
+    ...overrides,
+  };
+}
+
+afterEach(() => {
+  cleanup();
+  vi.restoreAllMocks();
+});
+
+describe('DashboardTabs (quick-260923-ad9, Task 3)', () => {
+  it('Test 1: rendert jeden Reiter mit seinem Namen', () => {
+    render(<DashboardTabs {...defaultProps()} />);
+
+    expect(screen.getByRole('button', { name: 'Dashboard' })).toBeInTheDocument();
+    expect(screen.getByRole('button', { name: 'Dashboard 2' })).toBeInTheDocument();
+  });
+
+  it('Test 2: ein Klick auf einen Reiter ruft onSelect mit dessen Kennung auf', () => {
+    const onSelect = vi.fn();
+    render(<DashboardTabs {...defaultProps({ onSelect })} />);
+
+    fireEvent.click(screen.getByRole('button', { name: 'Dashboard 2' }));
+
+    expect(onSelect).toHaveBeenCalledWith('d2');
+  });
+
+  it('Test 3: der aktive Reiter traegt aria-current, der andere nicht', () => {
+    render(<DashboardTabs {...defaultProps()} />);
+
+    expect(screen.getByRole('button', { name: 'Dashboard' })).toHaveAttribute('aria-current', 'true');
+    expect(screen.getByRole('button', { name: 'Dashboard 2' })).not.toHaveAttribute('aria-current');
+  });
+
+  it('Test 4: ausserhalb des Bearbeitungsmodus gibt es weder Umbenennen- noch Loeschen- noch Hinzufuegen-Knoepfe', () => {
+    render(<DashboardTabs {...defaultProps({ isEditMode: false })} />);
+
+    expect(screen.queryByLabelText('Dashboard umbenennen')).not.toBeInTheDocument();
+    expect(screen.queryByLabelText('Dashboard löschen')).not.toBeInTheDocument();
+    expect(screen.queryByLabelText('Dashboard hinzufügen')).not.toBeInTheDocument();
+  });
+
+  it('Test 5: im Bearbeitungsmodus mit mehreren Reitern sind Loeschen-Knoepfe und ein Hinzufuegen-Knopf da', () => {
+    render(<DashboardTabs {...defaultProps({ isEditMode: true })} />);
+
+    expect(screen.getAllByLabelText('Dashboard löschen')).toHaveLength(2);
+    expect(screen.getByLabelText('Dashboard hinzufügen')).toBeInTheDocument();
+  });
+
+  it('Test 6: beim letzten verbleibenden Reiter wird Loeschen gar nicht erst angeboten', () => {
+    render(<DashboardTabs {...defaultProps({ dashboards: [DASHBOARDS[0]], isEditMode: true })} />);
+
+    expect(screen.queryByLabelText('Dashboard löschen')).not.toBeInTheDocument();
+  });
+
+  it('Test 7: der Hinzufuegen-Knopf ruft onCreate auf', () => {
+    const onCreate = vi.fn();
+    render(<DashboardTabs {...defaultProps({ isEditMode: true, onCreate })} />);
+
+    fireEvent.click(screen.getByLabelText('Dashboard hinzufügen'));
+
+    expect(onCreate).toHaveBeenCalledTimes(1);
+  });
+
+  it('Test 8: Umbenennen-Knopf des AKTIVEN Reiters verwandelt den Namen in ein Eingabefeld; Enter uebernimmt beschnitten', () => {
+    const onRename = vi.fn();
+    render(<DashboardTabs {...defaultProps({ isEditMode: true, onRename })} />);
+
+    fireEvent.click(screen.getByLabelText('Dashboard umbenennen'));
+    const input = screen.getByLabelText('Name des Dashboards');
+    fireEvent.change(input, { target: { value: '  Finanzen  ' } });
+    fireEvent.keyDown(input, { key: 'Enter' });
+
+    expect(onRename).toHaveBeenCalledWith('d1', 'Finanzen');
+  });
+
+  it('Test 9: Escape verwirft die Umbenennung, ohne onRename aufzurufen', () => {
+    const onRename = vi.fn();
+    render(<DashboardTabs {...defaultProps({ isEditMode: true, onRename })} />);
+
+    fireEvent.click(screen.getByLabelText('Dashboard umbenennen'));
+    const input = screen.getByLabelText('Name des Dashboards');
+    fireEvent.change(input, { target: { value: 'Verworfen' } });
+    fireEvent.keyDown(input, { key: 'Escape' });
+
+    expect(onRename).not.toHaveBeenCalled();
+    expect(screen.getByRole('button', { name: 'Dashboard' })).toBeInTheDocument();
+  });
+
+  it('Test 10: der Umbenennen-Knopf steht nur beim AKTIVEN Reiter, nicht bei den anderen', () => {
+    render(<DashboardTabs {...defaultProps({ isEditMode: true })} />);
+
+    expect(screen.getAllByLabelText('Dashboard umbenennen')).toHaveLength(1);
+  });
+
+  it('Test 11: Loeschen fragt mit dem Namen des Reiters zurueck; Bestaetigen ruft onDelete auf', () => {
+    const onDelete = vi.fn();
+    render(<DashboardTabs {...defaultProps({ isEditMode: true, onDelete })} />);
+
+    fireEvent.click(screen.getAllByLabelText('Dashboard löschen')[1]);
+    const dialog = screen.getByRole('alertdialog');
+    expect(dialog).toHaveTextContent('Dashboard 2');
+
+    fireEvent.click(within(dialog).getByRole('button', { name: 'Löschen' }));
+
+    expect(onDelete).toHaveBeenCalledWith('d2');
+  });
+
+  it('Test 12: Abbrechen im Loeschdialog ruft onDelete NICHT auf', () => {
+    const onDelete = vi.fn();
+    render(<DashboardTabs {...defaultProps({ isEditMode: true, onDelete })} />);
+
+    fireEvent.click(screen.getAllByLabelText('Dashboard löschen')[0]);
+    const dialog = screen.getByRole('alertdialog');
+    fireEvent.click(within(dialog).getByRole('button', { name: 'Abbrechen' }));
+
+    expect(onDelete).not.toHaveBeenCalled();
+    expect(screen.queryByRole('alertdialog')).not.toBeInTheDocument();
+  });
+});
+
+describe('DashboardTabs — Ziehen zum Umsortieren (quick-260923-ad9, Task 4)', () => {
+  it('Test 13: Druecken und Loslassen OHNE nennenswerte Bewegung sendet KEINE neue Reihenfolge (der nachfolgende Klick waehlt weiterhin)', () => {
+    stubTabRects();
+    const onReorder = vi.fn();
+    const onSelect = vi.fn();
+    render(<DashboardTabs {...defaultProps({ onReorder, onSelect })} />);
+    const tab = screen.getByTestId('dashboard-tab-d2');
+
+    fireEvent.pointerDown(tab, { clientX: 150, pointerId: 1, button: 0 });
+    fireEvent.pointerUp(tab, { clientX: 150, pointerId: 1 });
+
+    expect(onReorder).not.toHaveBeenCalled();
+
+    fireEvent.click(screen.getByRole('button', { name: 'Dashboard 2' }));
+    expect(onSelect).toHaveBeenCalledWith('d2');
+  });
+
+  it('Test 14: Druecken, mehr als die Schwelle nach RECHTS bewegen und loslassen verschiebt den Reiter hinter seinen rechten Nachbarn', () => {
+    stubTabRects();
+    const onReorder = vi.fn();
+    render(<DashboardTabs {...defaultProps({ dashboards: DASHBOARDS, onReorder })} />);
+    const tab = screen.getByTestId('dashboard-tab-d1'); // Spanne 0..100
+
+    fireEvent.pointerDown(tab, { clientX: 10, pointerId: 1, button: 0 });
+    // ueber die Schwelle hinaus, weit rechts von d2s Mittelpunkt (150)
+    fireEvent.pointerMove(tab, { clientX: 180, pointerId: 1 });
+    fireEvent.pointerUp(tab, { clientX: 180, pointerId: 1 });
+
+    expect(onReorder).toHaveBeenCalledWith(['d2', 'd1']);
+  });
+
+  it('Test 15: dasselbe nach LINKS verschiebt vor den linken Nachbarn', () => {
+    stubTabRects();
+    const onReorder = vi.fn();
+    render(<DashboardTabs {...defaultProps({ dashboards: DASHBOARDS, onReorder })} />);
+    const tab = screen.getByTestId('dashboard-tab-d2'); // Spanne 100..200
+
+    fireEvent.pointerDown(tab, { clientX: 150, pointerId: 1, button: 0 });
+    // weit links von d1s Mittelpunkt (50)
+    fireEvent.pointerMove(tab, { clientX: 10, pointerId: 1 });
+    fireEvent.pointerUp(tab, { clientX: 10, pointerId: 1 });
+
+    expect(onReorder).toHaveBeenCalledWith(['d2', 'd1']);
+  });
+
+  it('Test 16: waehrend des Ziehens zeigt die Leiste die Vorschau-Reihenfolge; Abbruch des Zeigers verwirft sie, ohne zu senden', () => {
+    stubTabRects();
+    const onReorder = vi.fn();
+    render(<DashboardTabs {...defaultProps({ dashboards: DASHBOARDS, onReorder })} />);
+    const tab = screen.getByTestId('dashboard-tab-d1');
+
+    fireEvent.pointerDown(tab, { clientX: 10, pointerId: 1, button: 0 });
+    fireEvent.pointerMove(tab, { clientX: 180, pointerId: 1 });
+
+    // Vorschau: d2 steht jetzt vor d1 im DOM.
+    const buttons = screen.getAllByRole('button').filter((b) => b.textContent === 'Dashboard' || b.textContent === 'Dashboard 2');
+    expect(buttons.map((b) => b.textContent)).toEqual(['Dashboard 2', 'Dashboard']);
+
+    fireEvent.pointerCancel(tab, { pointerId: 1 });
+
+    expect(onReorder).not.toHaveBeenCalled();
+    const buttonsAfterCancel = screen
+      .getAllByRole('button')
+      .filter((b) => b.textContent === 'Dashboard' || b.textContent === 'Dashboard 2');
+    expect(buttonsAfterCancel.map((b) => b.textContent)).toEqual(['Dashboard', 'Dashboard 2']);
+  });
+
+  it('Test 17: ein Ziehen, das den ersten Reiter verdraengt, macht den vorgezogenen Reiter zum ersten in der gesendeten Liste', () => {
+    stubTabRects();
+    const onReorder = vi.fn();
+    render(<DashboardTabs {...defaultProps({ dashboards: THREE_DASHBOARDS, onReorder })} />);
+    const tab = screen.getByTestId('dashboard-tab-d3'); // Spanne 200..300
+
+    fireEvent.pointerDown(tab, { clientX: 250, pointerId: 1, button: 0 });
+    // weit links von d1s Mittelpunkt (50) -> wird der neue Erste
+    fireEvent.pointerMove(tab, { clientX: 5, pointerId: 1 });
+    fireEvent.pointerUp(tab, { clientX: 5, pointerId: 1 });
+
+    expect(onReorder).toHaveBeenCalledWith(['d3', 'd1', 'd2']);
+  });
+
+  it('Test 18: der aktive Reiter bleibt beim Ziehen aktiv, auch wenn er seine Position wechselt', () => {
+    stubTabRects();
+    render(<DashboardTabs {...defaultProps({ dashboards: DASHBOARDS, activeDashboardId: 'd1', onReorder: vi.fn() })} />);
+    const tab = screen.getByTestId('dashboard-tab-d1');
+
+    fireEvent.pointerDown(tab, { clientX: 10, pointerId: 1, button: 0 });
+    fireEvent.pointerMove(tab, { clientX: 180, pointerId: 1 });
+
+    expect(screen.getByRole('button', { name: 'Dashboard' })).toHaveAttribute('aria-current', 'true');
+  });
+
+  it('Test 19: nach einem echten Ziehen unterdrueckt der naechste Klick die Auswahl EINMAL, danach funktioniert Klicken wieder normal', () => {
+    stubTabRects();
+    const onSelect = vi.fn();
+    const onReorder = vi.fn();
+    render(<DashboardTabs {...defaultProps({ dashboards: DASHBOARDS, onSelect, onReorder })} />);
+    const tab = screen.getByTestId('dashboard-tab-d1');
+
+    fireEvent.pointerDown(tab, { clientX: 10, pointerId: 1, button: 0 });
+    fireEvent.pointerMove(tab, { clientX: 180, pointerId: 1 });
+    fireEvent.pointerUp(tab, { clientX: 180, pointerId: 1 });
+    expect(onReorder).toHaveBeenCalledTimes(1);
+
+    // Ein echter Browser wuerde nach dem Ziehen noch einen "click" nachreichen.
+    fireEvent.click(screen.getByRole('button', { name: 'Dashboard' }));
+    expect(onSelect).not.toHaveBeenCalled();
+
+    fireEvent.click(screen.getByRole('button', { name: 'Dashboard' }));
+    expect(onSelect).toHaveBeenCalledWith('d1');
+  });
+
+  it('Test 20: der Hinweistext zum Ziehen steht bei mehr als einem Reiter, aber nicht bei genau einem', () => {
+    const { rerender } = render(<DashboardTabs {...defaultProps({ dashboards: DASHBOARDS })} />);
+    expect(screen.getByText('Ziehen Sie einen Reiter, um ihn zum Standard zu machen.')).toBeInTheDocument();
+
+    rerender(<DashboardTabs {...defaultProps({ dashboards: [DASHBOARDS[0]] })} />);
+    expect(
+      screen.queryByText('Ziehen Sie einen Reiter, um ihn zum Standard zu machen.'),
+    ).not.toBeInTheDocument();
+  });
+
+  it('Test 21: Ziehen ist auch AUSSERHALB des Bearbeitungsmodus moeglich (D-09)', () => {
+    stubTabRects();
+    const onReorder = vi.fn();
+    render(<DashboardTabs {...defaultProps({ dashboards: DASHBOARDS, isEditMode: false, onReorder })} />);
+    const tab = screen.getByTestId('dashboard-tab-d1');
+
+    fireEvent.pointerDown(tab, { clientX: 10, pointerId: 1, button: 0 });
+    fireEvent.pointerMove(tab, { clientX: 180, pointerId: 1 });
+    fireEvent.pointerUp(tab, { clientX: 180, pointerId: 1 });
+
+    expect(onReorder).toHaveBeenCalledWith(['d2', 'd1']);
+  });
+});

apps/web/src/components/dashboard/dashboard-tabs.tsx

@@ -0,0 +1,393 @@
+'use client';
+
+import { useTranslations } from 'next-intl';
+import { type PointerEvent, useEffect, useRef, useState } from 'react';
+import type { DashboardTab } from '@/lib/dashboard-api';
+
+interface DashboardTabsProps {
+  dashboards: DashboardTab[];
+  activeDashboardId: string | null;
+  isEditMode: boolean;
+  onSelect: (id: string) => void;
+  onCreate: () => void;
+  onRename: (id: string, name: string) => void;
+  onDelete: (id: string) => void;
+  onReorder: (ids: string[]) => void;
+}
+
+/** Ab dieser waagerechten Auslenkung (Bildschirmpixel) wird aus einem Klick ein Ziehen (Task 4). */
+const DRAG_THRESHOLD_PX = 4;
+
+// jsdom kennt kein setPointerCapture — im Browser wird gefangen, im Test
+// feuern Move/Up auf demselben Element (Muster xframe-config-form.tsx).
+function capturePointer(el: HTMLElement, id: number) {
+  if (typeof el.setPointerCapture === 'function') el.setPointerCapture(id);
+}
+
+function releasePointer(el: HTMLElement, id: number) {
+  if (typeof el.releasePointerCapture === 'function') el.releasePointerCapture(id);
+}
+
+interface DragState {
+  id: string;
+  pointerId: number;
+  startX: number;
+}
+
+/**
+ * Berechnet die neue Reihenfolge, wenn `draggedId` an die Zeigerposition
+ * `clientX` verschoben wird: der gezogene Reiter wird aus der Liste
+ * entfernt, dann vor dem ERSTEN verbleibenden Reiter eingefuegt, dessen
+ * Mittelpunkt rechts vom Zeiger liegt (ansonsten ans Ende).
+ */
+function computeReorderedIds(
+  order: string[],
+  draggedId: string,
+  rects: Map<string, { left: number; width: number }>,
+  clientX: number,
+): string[] {
+  const others = order.filter((id) => id !== draggedId);
+  let insertAt = others.length;
+  for (let i = 0; i < others.length; i++) {
+    const rect = rects.get(others[i]);
+    if (!rect) continue;
+    const midpoint = rect.left + rect.width / 2;
+    if (clientX < midpoint) {
+      insertAt = i;
+      break;
+    }
+  }
+  const next = others.slice();
+  next.splice(insertAt, 0, draggedId);
+  return next;
+}
+
+/**
+ * Reiterleiste über dem Dashboard-Raster (quick-260923-ad9, Task 3/4).
+ *
+ * Klick wechselt IMMER den Reiter, unabhängig vom Bearbeitungsmodus.
+ * Umbenennen (an Ort und Stelle, Eingabetaste übernimmt, Escape verwirft)
+ * und Löschen (mit Rückfrage) sind nur im Bearbeitungsmodus sichtbar; der
+ * Löschen-Knopf fehlt zusätzlich beim letzten verbleibenden Reiter (D-10 —
+ * der Server weist das ohnehin ab, die Oberfläche bietet es gar nicht erst
+ * an).
+ *
+ * Ziehen (Task 4, D-05 — keine neue Abhängigkeit, Pointer-Ereignisse wie in
+ * `xframe-config-form.tsx`) ist IMMER möglich, nicht nur im Bearbeitungs-
+ * modus: nach vorn ziehen IST das Festlegen des Standards (D-09). Unter der
+ * Schwelle von {@link DRAG_THRESHOLD_PX} bleibt es ein Klick (`onClick`
+ * wechselt den Reiter, kein `onReorder`); darüber wird der Zeiger
+ * eingefangen, die Leiste zeigt die Vorschau-Reihenfolge, und beim
+ * Loslassen geht die VOLLSTÄNDIGE Kennungsliste an `onReorder`. Ein
+ * `hasDraggedRef`-Merker unterdrückt den `onClick`, der nach einem echten
+ * Ziehen im echten Browser folgt (jsdom feuert ihn in Tests nicht von
+ * selbst nach). Abbruch des Zeigers verwirft die Vorschau, ohne zu senden.
+ */
+export function DashboardTabs({
+  dashboards,
+  activeDashboardId,
+  isEditMode,
+  onSelect,
+  onCreate,
+  onRename,
+  onDelete,
+  onReorder,
+}: DashboardTabsProps) {
+  const t = useTranslations('widgets');
+  const tCommon = useTranslations('common');
+  const [renamingId, setRenamingId] = useState<string | null>(null);
+  const [draftName, setDraftName] = useState('');
+  const [pendingDeleteId, setPendingDeleteId] = useState<string | null>(null);
+  const [previewOrder, setPreviewOrder] = useState<string[] | null>(null);
+  const renameInputRef = useRef<HTMLInputElement>(null);
+  const dragRef = useRef<DragState | null>(null);
+  const hasDraggedRef = useRef(false);
+  const tabRefs = useRef<Map<string, HTMLDivElement>>(new Map());
+
+  // Fokus auf das Eingabefeld beim Wechsel in den Umbenennen-Zustand — ueber
+  // einen Ref statt des autoFocus-Attributs (lint/a11y/noAutofocus), Muster
+  // `widget-catalog-modal.tsx` (dialogRef.current?.focus()).
+  useEffect(() => {
+    if (renamingId) {
+      renameInputRef.current?.focus();
+      renameInputRef.current?.select();
+    }
+  }, [renamingId]);
+
+  const order = previewOrder ?? dashboards.map((d) => d.id);
+  const orderedTabs = order
+    .map((id) => dashboards.find((d) => d.id === id))
+    .filter((d): d is DashboardTab => d !== undefined);
+
+  function handlePointerDown(e: PointerEvent<HTMLDivElement>, tabId: string) {
+    if (e.button !== 0 || renamingId) return;
+    dragRef.current = { id: tabId, pointerId: e.pointerId, startX: e.clientX };
+  }
+
+  function handlePointerMove(e: PointerEvent<HTMLDivElement>) {
+    const drag = dragRef.current;
+    if (!drag) return;
+
+    const wasNotDragging = previewOrder === null;
+    if (wasNotDragging) {
+      if (Math.abs(e.clientX - drag.startX) < DRAG_THRESHOLD_PX) return;
+      hasDraggedRef.current = true;
+      capturePointer(e.currentTarget, drag.pointerId);
+    }
+
+    // Auf dem SELBEN Ereignis, das die Schwelle ueberschreitet, wird sofort
+    // die Zielposition berechnet — nicht erst beim naechsten Move. Ohne das
+    // wuerde ein einzelner grosser Sprung (Druecken, weit bewegen, Loslassen
+    // — die Form, in der ein Ziehen unter jsdom typischerweise ausgeloest
+    // wird) keine Verschiebung zeigen, weil der ERSTE Move-Aufruf nur in den
+    // Ziehzustand wechselt, ohne die Position auszuwerten.
+    const baseOrder = previewOrder ?? dashboards.map((d) => d.id);
+    const rects = new Map<string, { left: number; width: number }>();
+    for (const id of baseOrder) {
+      const el = tabRefs.current.get(id);
+      if (el) {
+        const rect = el.getBoundingClientRect();
+        rects.set(id, { left: rect.left, width: rect.width });
+      }
+    }
+    const next = computeReorderedIds(baseOrder, drag.id, rects, e.clientX);
+    if (wasNotDragging || next.join('\u0000') !== baseOrder.join('\u0000')) {
+      setPreviewOrder(next);
+    }
+  }
+
+  function handlePointerUp(e: PointerEvent<HTMLDivElement>) {
+    const drag = dragRef.current;
+    dragRef.current = null;
+    if (!drag) return;
+
+    if (previewOrder !== null) {
+      releasePointer(e.currentTarget, drag.pointerId);
+      const finalOrder = previewOrder;
+      setPreviewOrder(null);
+      onReorder(finalOrder);
+    }
+  }
+
+  function handlePointerCancel(e: PointerEvent<HTMLDivElement>) {
+    const drag = dragRef.current;
+    dragRef.current = null;
+    if (drag && previewOrder !== null) {
+      releasePointer(e.currentTarget, drag.pointerId);
+    }
+    setPreviewOrder(null);
+  }
+
+  function handleTabClick(tabId: string) {
+    if (hasDraggedRef.current) {
+      hasDraggedRef.current = false;
+      return;
+    }
+    onSelect(tabId);
+  }
+
+  function startRename(tab: DashboardTab) {
+    setRenamingId(tab.id);
+    setDraftName(tab.name);
+  }
+
+  function commitRename() {
+    const id = renamingId;
+    const name = draftName.trim();
+    setRenamingId(null);
+    if (id && name) {
+      onRename(id, name);
+    }
+  }
+
+  function cancelRename() {
+    setRenamingId(null);
+  }
+
+  const pendingDeleteTab = dashboards.find((d) => d.id === pendingDeleteId) ?? null;
+
+  return (
+    <div>
+      <nav aria-label={t('tabs.navLabel')} className="mb-1 flex items-center gap-1 overflow-x-auto">
+        {orderedTabs.map((tab, index) => {
+          const isActive = tab.id === activeDashboardId;
+          const isRenaming = renamingId === tab.id;
+
+          return (
+            <div
+              key={tab.id}
+              ref={(el) => {
+                if (el) tabRefs.current.set(tab.id, el);
+                else tabRefs.current.delete(tab.id);
+              }}
+              data-tab-index={index}
+              data-testid={`dashboard-tab-${tab.id}`}
+              className="flex touch-none items-center"
+              onPointerDown={(e) => handlePointerDown(e, tab.id)}
+              onPointerMove={handlePointerMove}
+              onPointerUp={handlePointerUp}
+              onPointerCancel={handlePointerCancel}
+            >
+              {isRenaming ? (
+                <input
+                  ref={renameInputRef}
+                  value={draftName}
+                  onChange={(e) => setDraftName(e.target.value)}
+                  onBlur={commitRename}
+                  onKeyDown={(e) => {
+                    if (e.key === 'Enter') {
+                      e.preventDefault();
+                      commitRename();
+                    } else if (e.key === 'Escape') {
+                      e.preventDefault();
+                      cancelRename();
+                    }
+                  }}
+                  maxLength={40}
+                  aria-label={t('tabs.renameInputLabel')}
+                  className="h-8 w-32 rounded border border-border bg-background px-2 text-sm text-foreground"
+                />
+              ) : (
+                <button
+                  type="button"
+                  onClick={() => handleTabClick(tab.id)}
+                  aria-current={isActive ? 'true' : undefined}
+                  className={`h-8 cursor-grab rounded-t px-3 text-sm font-medium transition-colors ${
+                    isActive
+                      ? 'border border-b-transparent border-border bg-card text-foreground'
+                      : 'text-muted-foreground hover:bg-muted'
+                  }`}
+                >
+                  {tab.name}
+                </button>
+              )}
+
+              {isEditMode && isActive && !isRenaming && (
+                <button
+                  type="button"
+                  onClick={() => startRename(tab)}
+                  aria-label={t('tabs.renameButtonLabel')}
+                  title={t('tabs.renameButtonLabel')}
+                  className="ml-0.5 rounded p-1 text-muted-foreground hover:bg-muted hover:text-foreground"
+                >
+                  <svg
+                    aria-hidden="true"
+                    xmlns="http://www.w3.org/2000/svg"
+                    width="14"
+                    height="14"
+                    viewBox="0 0 24 24"
+                    fill="none"
+                    stroke="currentColor"
+                    strokeWidth="2"
+                    strokeLinecap="round"
+                    strokeLinejoin="round"
+                  >
+                    <path d="M17 3a2.85 2.83 0 1 1 4 4L7.5 20.5 2 22l1.5-5.5Z" />
+                  </svg>
+                </button>
+              )}
+
+              {isEditMode && dashboards.length > 1 && (
+                <button
+                  type="button"
+                  onClick={() => setPendingDeleteId(tab.id)}
+                  aria-label={t('tabs.deleteButtonLabel')}
+                  title={t('tabs.deleteButtonLabel')}
+                  className="ml-0.5 rounded p-1 text-muted-foreground hover:bg-muted hover:text-destructive"
+                >
+                  <svg
+                    aria-hidden="true"
+                    xmlns="http://www.w3.org/2000/svg"
+                    width="14"
+                    height="14"
+                    viewBox="0 0 24 24"
+                    fill="none"
+                    stroke="currentColor"
+                    strokeWidth="2"
+                    strokeLinecap="round"
+                    strokeLinejoin="round"
+                  >
+                    <line x1="18" y1="6" x2="6" y2="18" />
+                    <line x1="6" y1="6" x2="18" y2="18" />
+                  </svg>
+                </button>
+              )}
+            </div>
+          );
+        })}
+
+        {isEditMode && (
+          <button
+            type="button"
+            onClick={onCreate}
+            aria-label={t('tabs.add')}
+            title={t('tabs.add')}
+            className="ml-1 flex h-8 w-8 items-center justify-center rounded text-muted-foreground hover:bg-muted hover:text-foreground"
+          >
+            <svg
+              aria-hidden="true"
+              xmlns="http://www.w3.org/2000/svg"
+              width="16"
+              height="16"
+              viewBox="0 0 24 24"
+              fill="none"
+              stroke="currentColor"
+              strokeWidth="2"
+              strokeLinecap="round"
+              strokeLinejoin="round"
+            >
+              <line x1="12" y1="5" x2="12" y2="19" />
+              <line x1="5" y1="12" x2="19" y2="12" />
+            </svg>
+          </button>
+        )}
+
+        {pendingDeleteTab && (
+          <div className="fixed inset-0 z-50 flex items-center justify-center">
+            <button
+              type="button"
+              onClick={() => setPendingDeleteId(null)}
+              aria-label={tCommon('cancel')}
+              className="fixed inset-0 bg-black/50"
+            />
+            <div
+              role="alertdialog"
+              aria-modal="true"
+              aria-label={t('tabs.deleteDialogTitle')}
+              className="relative z-50 mx-4 max-w-md rounded-lg border border-border bg-card p-6 shadow-xl"
+            >
+              <h3 className="mb-2 text-lg font-semibold text-foreground">
+                {t('tabs.deleteDialogTitle')}
+              </h3>
+              <p className="mb-4 text-sm text-muted-foreground">
+                {t('tabs.deleteDialogBody', { name: pendingDeleteTab.name })}
+              </p>
+              <div className="flex justify-end gap-3">
+                <button
+                  type="button"
+                  onClick={() => setPendingDeleteId(null)}
+                  className="rounded border border-border px-4 py-2 text-sm text-foreground transition-colors hover:bg-muted"
+                >
+                  {tCommon('cancel')}
+                </button>
+                <button
+                  type="button"
+                  onClick={() => {
+                    onDelete(pendingDeleteTab.id);
+                    setPendingDeleteId(null);
+                  }}
+                  className="rounded bg-destructive px-4 py-2 text-sm font-medium text-destructive-foreground transition-colors hover:bg-destructive/90"
+                >
+                  {tCommon('delete')}
+                </button>
+              </div>
+            </div>
+          </div>
+        )}
+      </nav>
+      {dashboards.length > 1 && (
+        <p className="mb-2 text-xs text-muted-foreground">{t('tabs.dragHint')}</p>
+      )}
+    </div>
+  );
+}

apps/web/src/lib/dashboard-api.ts

@@ -5,44 +5,105 @@
 
 const API_URL = process.env.NEXT_PUBLIC_API_URL || 'http://localhost:3001';
 
-export async function fetchLayout(): Promise<Record<string, unknown>> {
-  const res = await fetch(`${API_URL}/dashboard/layout`, {
+// --- Reiter (quick-260923-ad9) ---------------------------------------------
+
+export interface DashboardTab {
+  id: string;
+  name: string;
+  position: number;
+}
+
+export async function fetchDashboards(): Promise<DashboardTab[]> {
+  const res = await fetch(`${API_URL}/dashboard/tabs`, {
     credentials: 'include',
   });
+  if (!res.ok) throw new Error('Failed to fetch dashboards');
+  return res.json();
+}
+
+export async function createDashboardTab(): Promise<DashboardTab> {
+  const res = await fetch(`${API_URL}/dashboard/tabs`, {
+    method: 'POST',
+    credentials: 'include',
+  });
+  if (!res.ok) throw new Error('Failed to create dashboard');
+  return res.json();
+}
+
+export async function renameDashboardTab(id: string, name: string): Promise<DashboardTab> {
+  const res = await fetch(`${API_URL}/dashboard/tabs/${id}`, {
+    method: 'PATCH',
+    headers: { 'Content-Type': 'application/json' },
+    credentials: 'include',
+    body: JSON.stringify({ name }),
+  });
+  if (!res.ok) throw new Error('Failed to rename dashboard');
+  return res.json();
+}
+
+export async function deleteDashboardTab(id: string): Promise<void> {
+  const res = await fetch(`${API_URL}/dashboard/tabs/${id}`, {
+    method: 'DELETE',
+    credentials: 'include',
+  });
+  if (!res.ok) throw new Error('Failed to delete dashboard');
+}
+
+export async function reorderDashboardTabs(ids: string[]): Promise<DashboardTab[]> {
+  const res = await fetch(`${API_URL}/dashboard/tabs/order`, {
+    method: 'PUT',
+    headers: { 'Content-Type': 'application/json' },
+    credentials: 'include',
+    body: JSON.stringify({ ids }),
+  });
+  if (!res.ok) throw new Error('Failed to reorder dashboards');
+  return res.json();
+}
+
+// --- Anordnung und Kacheln — je Reiter (quick-260923-ad9) ------------------
+
+export async function fetchLayout(dashboardId: string): Promise<Record<string, unknown>> {
+  const res = await fetch(
+    `${API_URL}/dashboard/layout?dashboardId=${encodeURIComponent(dashboardId)}`,
+    { credentials: 'include' },
+  );
   if (!res.ok) throw new Error('Failed to fetch layout');
   return res.json();
 }
 
 export async function saveLayout(
+  dashboardId: string,
   layouts: Record<string, unknown>,
 ): Promise<void> {
   const res = await fetch(`${API_URL}/dashboard/layout`, {
     method: 'PUT',
     headers: { 'Content-Type': 'application/json' },
     credentials: 'include',
-    body: JSON.stringify({ layouts }),
+    body: JSON.stringify({ dashboardId, layouts }),
   });
   if (!res.ok) throw new Error('Failed to save layout');
 }
 
-export async function fetchWidgets(): Promise<
-  Array<{ id: string; widgetType: string; config: Record<string, unknown> }>
-> {
-  const res = await fetch(`${API_URL}/dashboard/widgets`, {
-    credentials: 'include',
-  });
+export async function fetchWidgets(
+  dashboardId: string,
+): Promise<Array<{ id: string; widgetType: string; config: Record<string, unknown> }>> {
+  const res = await fetch(
+    `${API_URL}/dashboard/widgets?dashboardId=${encodeURIComponent(dashboardId)}`,
+    { credentials: 'include' },
+  );
   if (!res.ok) throw new Error('Failed to fetch widgets');
   return res.json();
 }
 
 export async function addWidget(
+  dashboardId: string,
   widgetType: string,
 ): Promise<{ id: string; widgetType: string; config: Record<string, unknown> }> {
   const res = await fetch(`${API_URL}/dashboard/widgets`, {
     method: 'POST',
     headers: { 'Content-Type': 'application/json' },
     credentials: 'include',
-    body: JSON.stringify({ widgetType }),
+    body: JSON.stringify({ dashboardId, widgetType }),
   });
   if (!res.ok) throw new Error('Failed to add widget');
   return res.json();

apps/web/src/lib/module-loader.ts

@@ -53,6 +53,12 @@ export const MODULE_REGISTRY: Record<string, ModuleRegistryEntry> = {
       { ssr: false },
     ),
   },
+  proxmox: {
+    component: dynamic(
+      () => import('@/app/(portal)/modules/proxmox/page'),
+      { ssr: false },
+    ),
+  },
 };
 
 /**

apps/web/src/lib/proxmox-api.ts

@@ -0,0 +1,234 @@
+/**
+ * Proxmox Module API client (260923-dhh). Konsumiert `/modules/proxmox/*`.
+ * Vorbild `dkv-api.ts`: `credentials: 'include'` fuer Cookie-Auth,
+ * `NEXT_PUBLIC_API_URL` als Basis.
+ *
+ * Sicherheit (T-DHH-01): keine Antwort dieses Clients enthaelt jemals ein
+ * Geheimnisfeld — der Server waehlt `encryptedTokenSecret`/`encryptedPassword`
+ * per `select` gar nicht erst aus.
+ */
+
+const API_URL = process.env.NEXT_PUBLIC_API_URL || 'http://localhost:3001';
+
+export type ProxmoxProductType = 'pve' | 'pbs' | 'pmg';
+export type ProxmoxAuthMethod = 'token' | 'password';
+export type ProxmoxErrorKind =
+  | 'netz'
+  | 'zugang'
+  | 'rechte'
+  | 'zertifikat'
+  | 'antwortform'
+  | 'server'
+  | 'unbekannt';
+
+export interface ProxmoxPveNodeMetric {
+  node: string;
+  cpu: number | null;
+  maxcpu: number | null;
+  mem: number | null;
+  maxmem: number | null;
+}
+
+export interface ProxmoxPveStorageMetric {
+  storage: string;
+  node: string;
+  disk: number | null;
+  maxdisk: number | null;
+}
+
+export interface ProxmoxPveMetrics {
+  productType: 'pve';
+  nodeCount: number;
+  guestsRunning: number;
+  guestsStopped: number;
+  nodes: ProxmoxPveNodeMetric[];
+  storages: ProxmoxPveStorageMetric[];
+}
+
+export interface ProxmoxPbsDatastoreMetric {
+  name: string;
+  total: number | null;
+  used: number | null;
+  free: number | null;
+  lastBackupAt: number | null;
+  lastVerifyState: string | null;
+}
+
+export interface ProxmoxPbsMetrics {
+  productType: 'pbs';
+  datastores: ProxmoxPbsDatastoreMetric[];
+}
+
+export interface ProxmoxPmgMetrics {
+  productType: 'pmg';
+  countIn: number | null;
+  countOut: number | null;
+  spamCount: number | null;
+  virusCount: number | null;
+}
+
+export type ProxmoxMetrics = ProxmoxPveMetrics | ProxmoxPbsMetrics | ProxmoxPmgMetrics;
+
+export interface ProxmoxServerStatus {
+  id: string;
+  serverId: string;
+  lastPolledAt: string | null;
+  lastOkAt: string | null;
+  reachable: boolean;
+  errorKind: ProxmoxErrorKind | null;
+  errorDetail: string | null;
+  metrics: ProxmoxMetrics | null;
+  rawSample: unknown;
+  updatedAt: string;
+}
+
+export interface ProxmoxServer {
+  id: string;
+  tenantId: string;
+  name: string;
+  productType: ProxmoxProductType;
+  baseUrl: string;
+  authMethod: ProxmoxAuthMethod;
+  tokenId: string | null;
+  username: string | null;
+  tlsRejectUnauthorized: boolean;
+  isActive: boolean;
+  pollIntervalMin: number;
+  position: number;
+  createdAt: string;
+  updatedAt: string;
+  status: ProxmoxServerStatus | null;
+}
+
+export interface CreateProxmoxServerPayload {
+  name: string;
+  productType: ProxmoxProductType;
+  baseUrl: string;
+  authMethod: ProxmoxAuthMethod;
+  tokenId?: string;
+  tokenSecret?: string;
+  username?: string;
+  password?: string;
+  tlsRejectUnauthorized?: boolean;
+  pollIntervalMin?: number;
+  isActive?: boolean;
+}
+
+export type UpdateProxmoxServerPayload = Partial<CreateProxmoxServerPayload>;
+
+export interface ProxmoxTestResult {
+  reachable: boolean;
+  errorKind: ProxmoxErrorKind | null;
+  errorDetail: string | null;
+  metrics: ProxmoxMetrics | null;
+  rawSample: unknown;
+}
+
+/** Liest die NestJS-Fehlermeldung aus dem Antwortkoerper, faellt sonst auf einen Standardtext zurueck. */
+async function readErrorMessage(res: Response, fallback: string): Promise<string> {
+  try {
+    const body = await res.json();
+    if (typeof body?.message === 'string') return body.message;
+    if (Array.isArray(body?.message) && body.message.length > 0) return String(body.message[0]);
+  } catch {
+    /* Antwort war kein JSON — Standardtext bleibt */
+  }
+  return fallback;
+}
+
+/** GET /modules/proxmox/servers — Serverliste samt Zwischenlager. */
+export async function listServers(): Promise<ProxmoxServer[]> {
+  const res = await fetch(`${API_URL}/modules/proxmox/servers`, {
+    credentials: 'include',
+  });
+  if (!res.ok) throw new Error('Failed to fetch proxmox servers');
+  return res.json();
+}
+
+/** POST /modules/proxmox/servers — Server anlegen (ADMIN/SUPER_ADMIN). */
+export async function createServer(
+  payload: CreateProxmoxServerPayload,
+): Promise<ProxmoxServer> {
+  const res = await fetch(`${API_URL}/modules/proxmox/servers`, {
+    method: 'POST',
+    headers: { 'Content-Type': 'application/json' },
+    credentials: 'include',
+    body: JSON.stringify(payload),
+  });
+  if (!res.ok) throw new Error(await readErrorMessage(res, 'Failed to create proxmox server'));
+  return res.json();
+}
+
+/** PUT /modules/proxmox/servers/:id — Server bearbeiten (ADMIN/SUPER_ADMIN). */
+export async function updateServer(
+  id: string,
+  payload: UpdateProxmoxServerPayload,
+): Promise<ProxmoxServer> {
+  const res = await fetch(`${API_URL}/modules/proxmox/servers/${id}`, {
+    method: 'PUT',
+    headers: { 'Content-Type': 'application/json' },
+    credentials: 'include',
+    body: JSON.stringify(payload),
+  });
+  if (!res.ok) throw new Error(await readErrorMessage(res, 'Failed to update proxmox server'));
+  return res.json();
+}
+
+/** DELETE /modules/proxmox/servers/:id — Server samt Zwischenlagerzeile loeschen (ADMIN/SUPER_ADMIN). */
+export async function deleteServer(id: string): Promise<void> {
+  const res = await fetch(`${API_URL}/modules/proxmox/servers/${id}`, {
+    method: 'DELETE',
+    credentials: 'include',
+  });
+  if (!res.ok) throw new Error(await readErrorMessage(res, 'Failed to delete proxmox server'));
+}
+
+/** POST /modules/proxmox/servers/:id/poll — sofortige Abfrage (ADMIN/SUPER_ADMIN). */
+export async function pollServer(id: string): Promise<ProxmoxTestResult> {
+  const res = await fetch(`${API_URL}/modules/proxmox/servers/${id}/poll`, {
+    method: 'POST',
+    credentials: 'include',
+  });
+  if (!res.ok) throw new Error(await readErrorMessage(res, 'Failed to poll proxmox server'));
+  return res.json();
+}
+
+/**
+ * POST /modules/proxmox/servers/:id/test — Verbindungstest fuer einen
+ * gespeicherten Server, schreibt NICHT ins Zwischenlager. `payload` traegt
+ * den aktuellen Formularstand (Nachbesserung Befund 1): der Test prueft
+ * damit, was im Formular steht, statt blind den gespeicherten Stand — ein
+ * leer gelassenes Geheimnisfeld (`tokenSecret`/`password: undefined`) laesst
+ * den Server serverseitig auf den gespeicherten Wert zurueckfallen.
+ */
+export async function testServer(
+  id: string,
+  payload: UpdateProxmoxServerPayload,
+): Promise<ProxmoxTestResult> {
+  const res = await fetch(`${API_URL}/modules/proxmox/servers/${id}/test`, {
+    method: 'POST',
+    headers: { 'Content-Type': 'application/json' },
+    credentials: 'include',
+    body: JSON.stringify(payload),
+  });
+  if (!res.ok) throw new Error(await readErrorMessage(res, 'Failed to test proxmox server'));
+  return res.json();
+}
+
+/**
+ * POST /modules/proxmox/servers/test — Verbindungstest waehrend der
+ * Neuanlage (Nachbesserung Befund 1): es gibt noch keinen gespeicherten
+ * Server, `payload` ist deshalb die einzige Quelle.
+ */
+export async function testDraftServer(
+  payload: UpdateProxmoxServerPayload,
+): Promise<ProxmoxTestResult> {
+  const res = await fetch(`${API_URL}/modules/proxmox/servers/test`, {
+    method: 'POST',
+    headers: { 'Content-Type': 'application/json' },
+    credentials: 'include',
+    body: JSON.stringify(payload),
+  });
+  if (!res.ok) throw new Error(await readErrorMessage(res, 'Failed to test proxmox server'));
+  return res.json();
+}

apps/web/src/lib/stores/dashboard-store.test.ts

@@ -1,17 +1,31 @@
 import { afterEach, beforeEach, describe, expect, it, vi } from 'vitest';
 
 /**
- * dashboard-store.test — NEU (quick-260916-bwo, feineres Dashboard-Raster).
+ * dashboard-store.test — quick-260916-bwo (Marker-Umrechnung) + erweitert um
+ * quick-260923-ad9 (Task 3, Dashboard-Reiter).
  *
- * Sechs Tests fuer die Anbindung der einmaligen Umrechnung im Store:
- * `loadDashboard` rechnet alte Anordnungen um und speichert SOFORT mit
- * Marker; `saveLayout` traegt den Marker bei JEDEM Speichern (T-BWO-02 —
- * fehlt er, wuerde das naechste Laden erneut verdoppeln); der Zustand
- * selbst bleibt markerfrei (der Store iteriert mit Object.keys ueber die
- * Breakpoints); `addWidget` legt neue Eintraege in den verdoppelten
- * Vorgabegroessen an. Der Store hatte bisher keine Testdatei.
+ * Sechs Tests (1-6) pinnen weiterhin die Anbindung der einmaligen
+ * Umrechnung im Store — `loadDashboard`/`selectDashboard` rechnen alte
+ * Anordnungen um und speichern SOFORT mit Marker; `saveLayout` traegt den
+ * Marker bei JEDEM Speichern (T-BWO-02); der Zustand selbst bleibt
+ * markerfrei; `addWidget` legt neue Eintraege in den verdoppelten
+ * Vorgabegroessen an. Signaturen sind an die Reiter-Kennung angepasst
+ * (`fetchLayout(dashboardId)`, `saveLayout(dashboardId, layouts)`,
+ * `addWidget(dashboardId, widgetType)`), das gepruefte Verhalten ist
+ * dasselbe.
+ *
+ * Ab Test 7: Reiter-Verwaltung — Laden holt zuerst die Reiterliste, macht
+ * den ersten aktiv und laedt erst danach dessen Inhalt; ein Reiterwechsel
+ * schreibt eine ungespeicherte Anordnung zuerst fuer den ALTEN Reiter;
+ * Anlegen/Umbenennen/Loeschen pflegen die Reiterliste und den aktiven
+ * Reiter.
  */
 vi.mock('@/lib/dashboard-api', () => ({
+  fetchDashboards: vi.fn(),
+  createDashboardTab: vi.fn(),
+  renameDashboardTab: vi.fn(),
+  deleteDashboardTab: vi.fn(),
+  reorderDashboardTabs: vi.fn(),
   fetchLayout: vi.fn(),
   fetchWidgets: vi.fn(),
   saveLayout: vi.fn(),
@@ -25,9 +39,14 @@ import * as api from '@/lib/dashboard-api';
 const { useDashboardStore } = await import('./dashboard-store');
 
 const EMPTY = { lg: [], md: [], sm: [], xs: [], xxs: [] };
+const DASH_1 = { id: 'dash-1', name: 'Dashboard', position: 0 };
+const DASH_2 = { id: 'dash-2', name: 'Dashboard 2', position: 1 };
 
 beforeEach(() => {
   useDashboardStore.setState({
+    dashboards: [],
+    activeDashboardId: null,
+    isSwitchingDashboard: false,
     layouts: { lg: [], md: [], sm: [], xs: [], xxs: [] },
     widgets: [],
     isEditMode: false,
@@ -36,7 +55,9 @@ beforeEach(() => {
     error: null,
   });
   vi.clearAllMocks();
+  vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1]);
   vi.mocked(api.fetchWidgets).mockResolvedValue([]);
+  vi.mocked(api.fetchLayout).mockResolvedValue({ ...EMPTY });
   vi.mocked(api.saveLayout).mockResolvedValue(undefined);
 });
 
@@ -45,7 +66,7 @@ afterEach(() => {
 });
 
 describe('dashboard-store — einmalige Umrechnung mit Marker (quick-260916-bwo)', () => {
-  it('Test 1: alte Anordnung wird beim Laden umgerechnet und SOFORT mit Marker gespeichert', async () => {
+  it('Test 1: alte Anordnung wird beim Laden umgerechnet und SOFORT fuer den ersten Reiter mit Marker gespeichert', async () => {
     vi.mocked(api.fetchLayout).mockResolvedValue({
       lg: [{ i: 'a', x: 1, y: 1, w: 2, h: 2 }], md: [], sm: [], xs: [], xxs: [],
     });
@@ -57,6 +78,7 @@ describe('dashboard-store — einmalige Umrechnung mit Marker (quick-260916-bwo)
     expect(Object.keys(state.layouts)).not.toContain('__gridVersion');
     expect(api.saveLayout).toHaveBeenCalledTimes(1);
     expect(api.saveLayout).toHaveBeenCalledWith(
+      'dash-1',
       expect.objectContaining({ __gridVersion: 2, lg: [{ i: 'a', x: 2, y: 2, w: 4, h: 4 }] }),
     );
     expect(state.isDirty).toBe(false);
@@ -86,7 +108,10 @@ describe('dashboard-store — einmalige Umrechnung mit Marker (quick-260916-bwo)
     expect(useDashboardStore.getState().layouts).toEqual(EMPTY);
   });
 
-  it('Test 4: jedes Speichern traegt den Marker (T-BWO-02), der Zustand bleibt markerfrei', async () => {
+  it('Test 4: jedes Speichern traegt den Marker (T-BWO-02) unter der aktiven Reiter-Kennung, der Zustand bleibt markerfrei', async () => {
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.saveLayout).mockClear();
+
     const layouts = { lg: [{ i: 'a', x: 2, y: 2, w: 4, h: 4 }], md: [], sm: [], xs: [], xxs: [] };
     useDashboardStore.getState().updateLayouts(layouts);
     expect(useDashboardStore.getState().isDirty).toBe(true);
@@ -94,7 +119,10 @@ describe('dashboard-store — einmalige Umrechnung mit Marker (quick-260916-bwo)
     await useDashboardStore.getState().saveLayout();
 
     expect(api.saveLayout).toHaveBeenCalledTimes(1);
-    expect(api.saveLayout).toHaveBeenCalledWith(expect.objectContaining({ __gridVersion: 2, ...layouts }));
+    expect(api.saveLayout).toHaveBeenCalledWith(
+      'dash-1',
+      expect.objectContaining({ __gridVersion: 2, ...layouts }),
+    );
     expect(useDashboardStore.getState().isDirty).toBe(false);
     expect(Object.keys(useDashboardStore.getState().layouts)).not.toContain('__gridVersion');
   });
@@ -115,13 +143,180 @@ describe('dashboard-store — einmalige Umrechnung mit Marker (quick-260916-bwo)
     expect(errorSpy).toHaveBeenCalledTimes(1);
   });
 
-  it('Test 6: neues Widget wird in den neuen (verdoppelten) Vorgabegroessen angelegt', async () => {
+  it('Test 6: neues Widget wird in den neuen (verdoppelten) Vorgabegroessen fuer den aktiven Reiter angelegt', async () => {
+    await useDashboardStore.getState().loadDashboard();
     vi.mocked(api.addWidget).mockResolvedValue({ id: 'n1', widgetType: 'clock', config: {} });
 
     await useDashboardStore.getState().addWidget('clock');
 
     const state = useDashboardStore.getState();
+    expect(api.addWidget).toHaveBeenCalledWith('dash-1', 'clock');
     expect(state.layouts.lg).toContainEqual({ i: 'n1', x: 0, y: 0, w: 4, h: 4 });
     expect(state.isDirty).toBe(true);
   });
 });
+
+describe('dashboard-store — Reiter laden (quick-260923-ad9, Task 3)', () => {
+  it('Test 7: holt zuerst die Reiterliste, macht den ERSTEN aktiv und laedt erst danach dessen Kacheln und Anordnung', async () => {
+    vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1, DASH_2]);
+    const callOrder: string[] = [];
+    vi.mocked(api.fetchDashboards).mockImplementation(async () => {
+      callOrder.push('tabs');
+      return [DASH_1, DASH_2];
+    });
+    vi.mocked(api.fetchLayout).mockImplementation(async () => {
+      callOrder.push('layout');
+      return { ...EMPTY };
+    });
+    vi.mocked(api.fetchWidgets).mockImplementation(async () => {
+      callOrder.push('widgets');
+      return [];
+    });
+
+    await useDashboardStore.getState().loadDashboard();
+
+    expect(callOrder[0]).toBe('tabs');
+    expect(callOrder.slice(1).sort()).toEqual(['layout', 'widgets']);
+    expect(api.fetchLayout).toHaveBeenCalledWith('dash-1');
+    expect(api.fetchWidgets).toHaveBeenCalledWith('dash-1');
+    expect(useDashboardStore.getState().activeDashboardId).toBe('dash-1');
+    expect(useDashboardStore.getState().dashboards).toEqual([DASH_1, DASH_2]);
+  });
+
+  it('Test 8: zweimaliges Aufrufen von loadDashboard hintereinander loest nur EINEN Abruf der Reiterliste aus', async () => {
+    const first = useDashboardStore.getState().loadDashboard();
+    const second = useDashboardStore.getState().loadDashboard();
+
+    await Promise.all([first, second]);
+
+    expect(api.fetchDashboards).toHaveBeenCalledTimes(1);
+  });
+});
+
+describe('dashboard-store — Reiterwechsel (quick-260923-ad9, Task 3)', () => {
+  it('Test 9: ein Wechsel mit ungespeicherter Anordnung schreibt die Anordnung ZUERST fuer den ALTEN Reiter', async () => {
+    vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1, DASH_2]);
+    await useDashboardStore.getState().loadDashboard();
+    useDashboardStore.getState().updateLayouts({ lg: [{ i: 'x', x: 0, y: 0, w: 1, h: 1 }], md: [], sm: [], xs: [], xxs: [] });
+    vi.mocked(api.saveLayout).mockClear();
+    vi.mocked(api.fetchLayout).mockResolvedValue({ ...EMPTY });
+    vi.mocked(api.fetchWidgets).mockResolvedValue([]);
+
+    await useDashboardStore.getState().selectDashboard('dash-2');
+
+    expect(api.saveLayout).toHaveBeenCalledWith('dash-1', expect.anything());
+    expect(useDashboardStore.getState().activeDashboardId).toBe('dash-2');
+  });
+
+  it('Test 10: nach dem Wechsel stehen im Zustand AUSSCHLIESSLICH Kacheln und Anordnung des neuen Reiters', async () => {
+    vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1, DASH_2]);
+    await useDashboardStore.getState().loadDashboard();
+
+    vi.mocked(api.fetchLayout).mockResolvedValue({
+      lg: [{ i: 'only-on-dash-2', x: 0, y: 0, w: 2, h: 2 }], md: [], sm: [], xs: [], xxs: [], __gridVersion: 2,
+    });
+    vi.mocked(api.fetchWidgets).mockResolvedValue([{ id: 'w-on-dash-2', widgetType: 'clock', config: {} }]);
+
+    await useDashboardStore.getState().selectDashboard('dash-2');
+
+    const state = useDashboardStore.getState();
+    expect(state.widgets).toEqual([{ id: 'w-on-dash-2', widgetType: 'clock', config: {} }]);
+    expect(state.layouts.lg).toEqual([{ i: 'only-on-dash-2', x: 0, y: 0, w: 2, h: 2 }]);
+  });
+
+  it('Test 11: ein Wechsel auf den bereits aktiven Reiter tut nichts', async () => {
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.fetchLayout).mockClear();
+    vi.mocked(api.fetchWidgets).mockClear();
+
+    await useDashboardStore.getState().selectDashboard('dash-1');
+
+    expect(api.fetchLayout).not.toHaveBeenCalled();
+    expect(api.fetchWidgets).not.toHaveBeenCalled();
+  });
+});
+
+describe('dashboard-store — Reiter anlegen/umbenennen/loeschen (quick-260923-ad9, Task 3)', () => {
+  it('Test 12: createDashboard haengt den neuen Reiter hinten an, macht ihn aktiv, die Kachelflaeche ist leer', async () => {
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.createDashboardTab).mockResolvedValue(DASH_2);
+    vi.mocked(api.fetchLayout).mockResolvedValue({ ...EMPTY });
+    vi.mocked(api.fetchWidgets).mockResolvedValue([]);
+
+    await useDashboardStore.getState().createDashboard();
+
+    const state = useDashboardStore.getState();
+    expect(state.dashboards.map((d) => d.id)).toEqual(['dash-1', 'dash-2']);
+    expect(state.activeDashboardId).toBe('dash-2');
+    expect(state.widgets).toEqual([]);
+  });
+
+  it('Test 13: renameDashboard aktualisiert den Namen in der Reiterliste', async () => {
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.renameDashboardTab).mockResolvedValue({ id: 'dash-1', name: 'Finanzen', position: 0 });
+
+    await useDashboardStore.getState().renameDashboard('dash-1', 'Finanzen');
+
+    expect(useDashboardStore.getState().dashboards[0].name).toBe('Finanzen');
+  });
+
+  it('Test 14: deleteDashboard des AKTIVEN Reiters macht den dann ersten verbleibenden Reiter aktiv und laedt dessen Inhalt', async () => {
+    vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1, DASH_2]);
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.deleteDashboardTab).mockResolvedValue(undefined);
+    vi.mocked(api.fetchLayout).mockResolvedValue({ ...EMPTY });
+    vi.mocked(api.fetchWidgets).mockResolvedValue([{ id: 'w-on-dash-2', widgetType: 'clock', config: {} }]);
+
+    await useDashboardStore.getState().deleteDashboard('dash-1');
+
+    const state = useDashboardStore.getState();
+    expect(state.dashboards.map((d) => d.id)).toEqual(['dash-2']);
+    expect(state.activeDashboardId).toBe('dash-2');
+    expect(state.widgets).toEqual([{ id: 'w-on-dash-2', widgetType: 'clock', config: {} }]);
+  });
+
+  it('Test 15: deleteDashboard eines INAKTIVEN Reiters aendert den aktiven Reiter nicht', async () => {
+    vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1, DASH_2]);
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.deleteDashboardTab).mockResolvedValue(undefined);
+    vi.mocked(api.fetchLayout).mockClear();
+
+    await useDashboardStore.getState().deleteDashboard('dash-2');
+
+    expect(useDashboardStore.getState().activeDashboardId).toBe('dash-1');
+    expect(useDashboardStore.getState().dashboards.map((d) => d.id)).toEqual(['dash-1']);
+    expect(api.fetchLayout).not.toHaveBeenCalled();
+  });
+});
+
+describe('dashboard-store — Reiter per Ziehen umsortieren (quick-260923-ad9, Task 4)', () => {
+  it('Test 16: setzt die neue Reihenfolge SOFORT optimistisch, sendet die vollstaendige Kennungsliste, der aktive Reiter bleibt aktiv', async () => {
+    vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1, DASH_2]);
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.reorderDashboardTabs).mockResolvedValue([DASH_2, DASH_1]);
+
+    const promise = useDashboardStore.getState().reorderDashboards(['dash-2', 'dash-1']);
+
+    // Optimistisch VOR der Antwort des Servers gesetzt.
+    expect(useDashboardStore.getState().dashboards.map((d) => d.id)).toEqual(['dash-2', 'dash-1']);
+    expect(useDashboardStore.getState().activeDashboardId).toBe('dash-1');
+
+    await promise;
+
+    expect(api.reorderDashboardTabs).toHaveBeenCalledWith(['dash-2', 'dash-1']);
+    expect(useDashboardStore.getState().dashboards).toEqual([DASH_2, DASH_1]);
+    expect(useDashboardStore.getState().activeDashboardId).toBe('dash-1');
+  });
+
+  it('Test 17: schlaegt das Speichern fehl, steht die VORHERIGE Reihenfolge wieder im Zustand', async () => {
+    vi.mocked(api.fetchDashboards).mockResolvedValue([DASH_1, DASH_2]);
+    await useDashboardStore.getState().loadDashboard();
+    vi.mocked(api.reorderDashboardTabs).mockRejectedValue(new Error('PUT failed'));
+    const errorSpy = vi.spyOn(console, 'error').mockImplementation(() => {});
+
+    await useDashboardStore.getState().reorderDashboards(['dash-2', 'dash-1']);
+
+    expect(useDashboardStore.getState().dashboards).toEqual([DASH_1, DASH_2]);
+    expect(errorSpy).toHaveBeenCalledTimes(1);
+  });
+});

apps/web/src/lib/stores/dashboard-store.ts

@@ -1,5 +1,6 @@
 import { create } from 'zustand';
 import * as api from '@/lib/dashboard-api';
+import type { DashboardTab } from '@/lib/dashboard-api';
 import type { WidgetType } from '@/components/dashboard/widget-registry';
 import { WIDGET_CONSTRAINTS } from '@/components/dashboard/widget-registry';
 import { migrateGridLayouts, withGridVersion } from '@/lib/grid-layout-migration';
@@ -11,6 +12,9 @@ export interface WidgetInstance {
 }
 
 interface DashboardState {
+  dashboards: DashboardTab[];
+  activeDashboardId: string | null;
+  isSwitchingDashboard: boolean;
   layouts: Record<string, Array<{ i: string; x: number; y: number; w: number; h: number }>>;
   widgets: WidgetInstance[];
   isEditMode: boolean;
@@ -24,6 +28,34 @@ interface DashboardState {
   removeWidget: (id: string) => Promise<void>;
   loadDashboard: () => Promise<void>;
   saveLayout: () => Promise<void>;
+  selectDashboard: (id: string) => Promise<void>;
+  createDashboard: () => Promise<void>;
+  renameDashboard: (id: string, name: string) => Promise<void>;
+  deleteDashboard: (id: string) => Promise<void>;
+  reorderDashboards: (ids: string[]) => Promise<void>;
+}
+
+/**
+ * Schutz gegen doppeltes Laden der Reiterliste (quick-260923-ad9, Task 3,
+ * T-AD9-07 — Gegenstück zur Transaktionssperre in `listDashboards` auf der
+ * API): ein modul-globales Versprechen statt eines Zustandsfeldes, damit
+ * ZWEI synchron hintereinander ausgeloeste `loadDashboard()`-Aufrufe (z. B.
+ * React StrictMode, doppeltes Einhaengen) sich dasselbe, noch nicht
+ * aufgeloeste Versprechen teilen — `api.fetchDashboards()` laeuft dann nur
+ * EINMAL. Nach Abschluss (Erfolg ODER Fehler) wird die Sperre zurueckgesetzt,
+ * damit ein spaeteres, echtes Neuladen (Seite erneut besucht, langer
+ * Zeitabstand) wieder ein frisches Netzwerkergebnis holt statt fuer immer
+ * auf dem ersten Ergebnis zu bleiben.
+ */
+let dashboardsLoadPromise: Promise<DashboardTab[]> | null = null;
+
+function loadDashboardsOnce(): Promise<DashboardTab[]> {
+  if (!dashboardsLoadPromise) {
+    dashboardsLoadPromise = api.fetchDashboards().finally(() => {
+      dashboardsLoadPromise = null;
+    });
+  }
+  return dashboardsLoadPromise;
 }
 
 /**
@@ -37,8 +69,19 @@ interface DashboardState {
  * ueber die Breakpoints). Fehlt der Marker beim Speichern, wird beim naechsten
  * Laden erneut verdoppelt — deshalb `withGridVersion` an BEIDEN Speicherstellen
  * (Sofort-Speichern nach der Umrechnung und `saveLayout`), T-BWO-02.
+ *
+ * quick-260923-ad9 (Task 3): Reiter — mehrere Dashboards je Benutzer. Der
+ * erste (`position` aufsteigend) ist der Standard und wird beim Laden aktiv.
+ * `layouts`/`widgets` gehoeren IMMER zum `activeDashboardId` — ein
+ * Reiterwechsel ersetzt beide vollstaendig, nie ein Zusammenfuehren. Die
+ * Marker-Umrechnung oben gilt weiterhin je Reiter: `selectDashboard`
+ * durchlaeuft dieselbe Umrechnung-plus-Sofort-Speichern-Logik wie
+ * `loadDashboard`.
  */
 export const useDashboardStore = create<DashboardState>()((set, get) => ({
+  dashboards: [],
+  activeDashboardId: null,
+  isSwitchingDashboard: false,
   layouts: { lg: [], md: [], sm: [], xs: [], xxs: [] },
   widgets: [],
   isEditMode: false,
@@ -63,8 +106,10 @@ export const useDashboardStore = create<DashboardState>()((set, get) => ({
   },
 
   addWidget: async (widgetType: WidgetType) => {
+    const dashboardId = get().activeDashboardId;
+    if (!dashboardId) return;
     try {
-      const newWidget = await api.addWidget(widgetType);
+      const newWidget = await api.addWidget(dashboardId, widgetType);
       const constraints = WIDGET_CONSTRAINTS[widgetType];
 
       set((state) => {
@@ -117,12 +162,21 @@ export const useDashboardStore = create<DashboardState>()((set, get) => ({
   loadDashboard: async () => {
     set({ isLoading: true, error: null });
     try {
+      const dashboards = await loadDashboardsOnce();
+      const first = dashboards[0];
+      if (!first) {
+        set({ error: 'Failed to load dashboard', isLoading: false });
+        return;
+      }
+
       const [rawLayouts, widgets] = await Promise.all([
-        api.fetchLayout(),
-        api.fetchWidgets(),
+        api.fetchLayout(first.id),
+        api.fetchWidgets(first.id),
       ]);
       const { layouts: migratedLayouts, migrated } = migrateGridLayouts(rawLayouts);
       set({
+        dashboards,
+        activeDashboardId: first.id,
         layouts: migratedLayouts,
         widgets,
         isLoading: false,
@@ -132,7 +186,7 @@ export const useDashboardStore = create<DashboardState>()((set, get) => ({
       // try/catch, damit ein Speicherfehler NICHT als Ladefehler erscheint.
       if (migrated) {
         try {
-          await api.saveLayout(withGridVersion(migratedLayouts));
+          await api.saveLayout(first.id, withGridVersion(migratedLayouts));
         } catch (err) {
           console.error('Failed to persist migrated layout:', err);
         }
@@ -146,11 +200,129 @@ export const useDashboardStore = create<DashboardState>()((set, get) => ({
   },
 
   saveLayout: async () => {
+    const dashboardId = get().activeDashboardId;
+    if (!dashboardId) return;
     try {
-      await api.saveLayout(withGridVersion(get().layouts));
+      await api.saveLayout(dashboardId, withGridVersion(get().layouts));
       set({ isDirty: false });
     } catch (err) {
       console.error('Failed to save layout:', err);
     }
   },
+
+  /**
+   * Wechselt den aktiven Reiter (quick-260923-ad9, Task 3). Eine
+   * ungespeicherte Anordnung wird ZUERST fuer den ALTEN Reiter geschrieben
+   * (`get().saveLayout()` liest `activeDashboardId` VOR dem `set` unten,
+   * schreibt also unter der Kennung des alten Reiters) — erst danach werden
+   * Kacheln und Anordnung des neuen Reiters geladen und ersetzen den
+   * Zustand VOLLSTAENDIG (kein Zusammenfuehren).
+   */
+  selectDashboard: async (id: string) => {
+    const state = get();
+    if (id === state.activeDashboardId) return;
+
+    if (state.isDirty) {
+      await get().saveLayout();
+    }
+
+    set({ isSwitchingDashboard: true, error: null });
+    try {
+      const [rawLayouts, widgets] = await Promise.all([
+        api.fetchLayout(id),
+        api.fetchWidgets(id),
+      ]);
+      const { layouts: migratedLayouts, migrated } = migrateGridLayouts(rawLayouts);
+      set({
+        activeDashboardId: id,
+        layouts: migratedLayouts,
+        widgets,
+        isDirty: false,
+        isSwitchingDashboard: false,
+      });
+      if (migrated) {
+        try {
+          await api.saveLayout(id, withGridVersion(migratedLayouts));
+        } catch (err) {
+          console.error('Failed to persist migrated layout:', err);
+        }
+      }
+    } catch (err) {
+      console.error('Failed to switch dashboard:', err);
+      set({ isSwitchingDashboard: false, error: 'Failed to switch dashboard' });
+    }
+  },
+
+  /** Legt einen neuen, leeren Reiter an und macht ihn aktiv (D-08). */
+  createDashboard: async () => {
+    try {
+      const created = await api.createDashboardTab();
+      set((state) => ({ dashboards: [...state.dashboards, created] }));
+      await get().selectDashboard(created.id);
+    } catch (err) {
+      console.error('Failed to create dashboard:', err);
+    }
+  },
+
+  renameDashboard: async (id: string, name: string) => {
+    try {
+      const updated = await api.renameDashboardTab(id, name);
+      set((state) => ({
+        dashboards: state.dashboards.map((d) => (d.id === id ? updated : d)),
+      }));
+    } catch (err) {
+      console.error('Failed to rename dashboard:', err);
+    }
+  },
+
+  /**
+   * Loescht einen Reiter. Beim aktiven Reiter wird danach der dann erste
+   * verbleibende Reiter aktiv und sein Inhalt geladen (`selectDashboard`).
+   * Die verbleibende Liste wird lokal gefiltert statt neu geladen — die vom
+   * Server neu vergebenen `position`-Werte werden dabei nicht nachgezogen;
+   * das ist fuer die Reihenfolge in der Leiste unschaedlich (sie filtert nur,
+   * sortiert nicht neu), ein spaeteres Umsortieren sendet ohnehin die
+   * VOLLSTAENDIGE Kennungsliste, nicht die Positionszahlen.
+   */
+  deleteDashboard: async (id: string) => {
+    try {
+      await api.deleteDashboardTab(id);
+      const remaining = get().dashboards.filter((d) => d.id !== id);
+      set({ dashboards: remaining });
+
+      if (get().activeDashboardId === id) {
+        const next = remaining[0];
+        if (next) {
+          set({ activeDashboardId: null });
+          await get().selectDashboard(next.id);
+        }
+      }
+    } catch (err) {
+      console.error('Failed to delete dashboard:', err);
+    }
+  },
+
+  /**
+   * Persistiert eine per Ziehen bestimmte Reihenfolge (quick-260923-ad9,
+   * Task 4). Setzt die neue Reihenfolge SOFORT im Zustand (optimistisch —
+   * die Leiste in `dashboard-tabs.tsx` zeigt schon ihre eigene Vorschau
+   * waehrend des Ziehens, dieses `set` uebernimmt sie beim Loslassen als
+   * Tatsache) und stellt bei einem fehlgeschlagenen Speichern die VORHERIGE
+   * Reihenfolge wieder her. Der aktive Reiter bleibt aktiv, auch wenn er
+   * seine Position wechselt — `activeDashboardId` bleibt unberuehrt.
+   */
+  reorderDashboards: async (ids: string[]) => {
+    const previous = get().dashboards;
+    const byId = new Map(previous.map((d) => [d.id, d]));
+    const optimistic = ids.map((id) => byId.get(id)).filter((d): d is DashboardTab => d !== undefined);
+    set({ dashboards: optimistic });
+
+    try {
+      const updated = await api.reorderDashboardTabs(ids);
+      set({ dashboards: updated });
+    } catch (err) {
+      console.error('Failed to reorder dashboards:', err);
+      set({ dashboards: previous });
+    }
+  },
 }));

apps/web/src/messages/de.json

@@ -214,6 +214,17 @@
     "layoutLoadError": "Dashboard konnte nicht geladen werden. Bitte laden Sie die Seite neu.",
     "widgetSaveError": "Änderungen konnten nicht gespeichert werden. Bitte versuchen Sie es erneut.",
     "unavailable": "Diese Kachel steht nicht zur Verfügung — das zugehörige Modul ist nicht freigegeben.",
+    "tabs": {
+      "navLabel": "Dashboard-Reiter",
+      "add": "Dashboard hinzufügen",
+      "switching": "Dashboard wird gewechselt …",
+      "renameButtonLabel": "Dashboard umbenennen",
+      "renameInputLabel": "Name des Dashboards",
+      "deleteButtonLabel": "Dashboard löschen",
+      "deleteDialogTitle": "Dashboard löschen",
+      "deleteDialogBody": "Möchten Sie das Dashboard „{name}“ wirklich löschen? Seine Kacheln und seine Anordnung werden mit gelöscht.",
+      "dragHint": "Ziehen Sie einen Reiter mit der Maus an eine andere Stelle. Der erste Reiter wird beim Öffnen geladen."
+    },
     "clock": {
       "name": "Uhr",
       "description": "Zeigt die aktuelle Uhrzeit an",
@@ -692,6 +703,87 @@
     "checking": "Prüfe...",
     "error": "Fehler bei der Prüfung"
   },
+  "proxmox": {
+    "title": "Proxmox",
+    "description": "Zustand Ihrer Proxmox-Server (PVE/PBS/PMG) auf einen Blick — Tessera schaut nur zu, es verändert nichts.",
+    "loading": "Lade Serverliste...",
+    "loadError": "Die Serverliste konnte nicht geladen werden.",
+    "emptyState": "Noch kein Server eingetragen. Legen Sie in den Moduleinstellungen einen Server an.",
+    "card": {
+      "unknownValue": "unbekannt",
+      "lastPolledLabel": "Letzte Abfrage",
+      "notPolledYet": "Noch keine Abfrage gelaufen. Klicken Sie oben auf „{refreshLabel}“.",
+      "notPolledYetAutomatic": "Noch keine Abfrage gelaufen. Die Werte erscheinen nach der nächsten automatischen Abfrage.",
+      "lastOkLabel": "Letzte erfolgreiche Messung",
+      "refresh": "Jetzt aktualisieren",
+      "refreshing": "Wird aktualisiert...",
+      "settingsLink": "Zu den Einstellungen",
+      "pve": {
+        "nodeCount": "Knoten",
+        "guests": "{running} laufend / {stopped} gestoppt",
+        "cpu": "Prozessorlast",
+        "mem": "Speicher"
+      },
+      "pbs": {
+        "used": "Belegt",
+        "lastBackup": "Letzte Sicherung",
+        "noBackupYet": "noch keine Sicherung",
+        "verifyState": "Letzte Prüfung"
+      },
+      "pmg": {
+        "countIn": "Eingehend",
+        "countOut": "Ausgehend",
+        "spamCount": "Spam",
+        "virusCount": "Viren"
+      }
+    },
+    "errors": {
+      "netz": "Der Server ist nicht erreichbar. Bitte prüfen Sie die Adresse und die Netzwerkverbindung.",
+      "zugang": "Der Zugang wurde abgelehnt. Bitte prüfen Sie Benutzername und Passwort beziehungsweise die Token-Angaben.",
+      "rechte": "Die Rechte des hinterlegten Zugangs reichen nicht aus. Bitte prüfen Sie die zugewiesene Rolle am Proxmox-Server.",
+      "zertifikat": "Das Zertifikat des Servers wurde abgelehnt. Prüfen Sie die Adresse oder schalten Sie die Zertifikatsprüfung für diesen einen Server bewusst ab.",
+      "antwortform": "Die Antwort des Servers hatte nicht die erwartete Form. Bitte prüfen Sie die Adresse.",
+      "server": "Der Proxmox-Server meldet einen eigenen Fehler. Bitte versuchen Sie es später erneut.",
+      "unbekannt": "Ein unerwarteter Fehler ist aufgetreten."
+    },
+    "settings": {
+      "title": "Proxmox — Einstellungen",
+      "accessDeniedText": "Diese Seite steht nur Administratoren zur Verfügung.",
+      "addServer": "Server hinzufügen",
+      "noServers": "Noch kein Server eingetragen.",
+      "nameLabel": "Name",
+      "productTypeLabel": "Typ",
+      "productTypePve": "PVE",
+      "productTypePbs": "PBS",
+      "productTypePmg": "PMG",
+      "baseUrlLabel": "Adresse",
+      "authMethodLabel": "Zugangsart",
+      "authMethodToken": "API-Token",
+      "authMethodPassword": "Benutzer/Passwort",
+      "tokenIdLabel": "Token-Kennung",
+      "tokenSecretLabel": "Token-Geheimnis",
+      "usernameLabel": "Benutzername",
+      "passwordLabel": "Passwort",
+      "secretUnchangedPlaceholder": "Leer lassen, um das gespeicherte Geheimnis beizubehalten",
+      "pollIntervalLabel": "Abfrageintervall (Minuten)",
+      "tlsRejectLabel": "Zertifikat prüfen",
+      "tlsRejectHint": "Die Ausnahme gilt nur für diesen einen Server, niemals für alle Server gemeinsam.",
+      "activeLabel": "Aktiv",
+      "save": "Speichern",
+      "saving": "Wird gespeichert...",
+      "saveError": "Die Einstellungen konnten nicht gespeichert werden.",
+      "cancel": "Abbrechen",
+      "testConnection": "Verbindung testen",
+      "testTesting": "Verbindung wird getestet...",
+      "testSuccess": "Verbindung erfolgreich.",
+      "edit": "Bearbeiten",
+      "delete": "Löschen",
+      "deleteConfirmTitle": "Server löschen",
+      "deleteConfirmBody": "Möchten Sie den Server \"{name}\" wirklich löschen? Der zuletzt gemessene Stand wird mit entfernt.",
+      "deleteConfirmButton": "Löschen",
+      "deleteCancelButton": "Abbrechen"
+    }
+  },
   "dkvFleet": {
     "pageTitle": "DKV-Rechnung",
     "checkNow": "Jetzt prüfen",

apps/web/src/messages/en.json

@@ -214,6 +214,17 @@
     "layoutLoadError": "Could not load dashboard. Please reload the page.",
     "widgetSaveError": "Could not save changes. Please try again.",
     "unavailable": "This tile is not available — the module it belongs to is not enabled for you.",
+    "tabs": {
+      "navLabel": "Dashboard tabs",
+      "add": "Add dashboard",
+      "switching": "Switching dashboard …",
+      "renameButtonLabel": "Rename dashboard",
+      "renameInputLabel": "Dashboard name",
+      "deleteButtonLabel": "Delete dashboard",
+      "deleteDialogTitle": "Delete dashboard",
+      "deleteDialogBody": "Do you really want to delete the dashboard \"{name}\"? Its tiles and layout will be deleted as well.",
+      "dragHint": "Drag a tab to a different position with your mouse. The first tab loads when you open the dashboard."
+    },
     "clock": {
       "name": "Clock",
       "description": "Shows the current time",
@@ -692,6 +703,87 @@
     "checking": "Checking...",
     "error": "Error checking domain"
   },
+  "proxmox": {
+    "title": "Proxmox",
+    "description": "State of your Proxmox servers (PVE/PBS/PMG) at a glance — Tessera only observes, it never changes anything.",
+    "loading": "Loading server list...",
+    "loadError": "Could not load the server list.",
+    "emptyState": "No server configured yet. Add one in the module settings.",
+    "card": {
+      "unknownValue": "unknown",
+      "lastPolledLabel": "Last poll",
+      "notPolledYet": "No poll has run yet. Click \"{refreshLabel}\" above.",
+      "notPolledYetAutomatic": "No poll has run yet. The values will appear after the next automatic poll.",
+      "lastOkLabel": "Last successful measurement",
+      "refresh": "Refresh now",
+      "refreshing": "Refreshing...",
+      "settingsLink": "Go to settings",
+      "pve": {
+        "nodeCount": "Nodes",
+        "guests": "{running} running / {stopped} stopped",
+        "cpu": "CPU load",
+        "mem": "Memory"
+      },
+      "pbs": {
+        "used": "Used",
+        "lastBackup": "Last backup",
+        "noBackupYet": "no backup yet",
+        "verifyState": "Last verification"
+      },
+      "pmg": {
+        "countIn": "Inbound",
+        "countOut": "Outbound",
+        "spamCount": "Spam",
+        "virusCount": "Viruses"
+      }
+    },
+    "errors": {
+      "netz": "The server is unreachable. Please check the address and the network connection.",
+      "zugang": "Access was denied. Please check the username and password, or the token details.",
+      "rechte": "The stored account does not have enough rights. Please check the assigned role on the Proxmox server.",
+      "zertifikat": "The server's certificate was rejected. Check the address, or deliberately disable certificate checking for this one server.",
+      "antwortform": "The server's response did not have the expected shape. Please check the address.",
+      "server": "The Proxmox server reports its own error. Please try again later.",
+      "unbekannt": "An unexpected error occurred."
+    },
+    "settings": {
+      "title": "Proxmox — Settings",
+      "accessDeniedText": "This page is only available to administrators.",
+      "addServer": "Add server",
+      "noServers": "No server configured yet.",
+      "nameLabel": "Name",
+      "productTypeLabel": "Type",
+      "productTypePve": "PVE",
+      "productTypePbs": "PBS",
+      "productTypePmg": "PMG",
+      "baseUrlLabel": "Address",
+      "authMethodLabel": "Access method",
+      "authMethodToken": "API token",
+      "authMethodPassword": "Username/password",
+      "tokenIdLabel": "Token ID",
+      "tokenSecretLabel": "Token secret",
+      "usernameLabel": "Username",
+      "passwordLabel": "Password",
+      "secretUnchangedPlaceholder": "Leave blank to keep the stored secret",
+      "pollIntervalLabel": "Poll interval (minutes)",
+      "tlsRejectLabel": "Verify certificate",
+      "tlsRejectHint": "The exception applies only to this one server, never to all servers at once.",
+      "activeLabel": "Active",
+      "save": "Save",
+      "saving": "Saving...",
+      "saveError": "Could not save the settings.",
+      "cancel": "Cancel",
+      "testConnection": "Test connection",
+      "testTesting": "Testing connection...",
+      "testSuccess": "Connection successful.",
+      "edit": "Edit",
+      "delete": "Delete",
+      "deleteConfirmTitle": "Delete server",
+      "deleteConfirmBody": "Do you really want to delete the server \"{name}\"? The last measured status will be removed as well.",
+      "deleteConfirmButton": "Delete",
+      "deleteCancelButton": "Cancel"
+    }
+  },
   "dkvFleet": {
     "pageTitle": "DKV Invoice",
     "checkNow": "Check Now",

apps/web/src/messages/umlaut-dictionary.ts

@@ -184,4 +184,9 @@ export const UMLAUT_ALLOWLIST: readonly string[] = [
   'SSL',
   // 260914-m97: Fehler-melden-Knopf, Pflichtlabel "Was ist passiert?"
   'passiert',
+  // quick-260923-dhh: Proxmox-Modul — korrektes Deutsch mit „ss“
+  'bewusst',
+  'gemessene',
+  'Messung',
+  'Prozessorlast',
 ];

docs/anleitung-anwender.md

@@ -60,6 +60,11 @@ Unten in der Seitenleiste finden Sie die Sprachumschaltung (Deutsch/English) sow
 
 Das Dashboard ist Ihre persönliche Startseite und öffnet sich automatisch nach der Anmeldung. Es zeigt ein Raster aus Kacheln — den **Widgets**. Ist noch kein Widget platziert, sehen Sie nur das Tessera-Symbol mit dem Hinweis „Keine Widgets aktiv".
 
+**Mehrere Dashboards (Reiter):** Über dem Raster steht eine Reiterleiste — Sie können mehrere Dashboards anlegen, die dort nebeneinander stehen. Jeder Reiter trägt seine eigenen Kacheln und seine eigene Anordnung; was auf dem einen Reiter liegt, erscheint nicht auf dem anderen. Ein Klick auf einen Reiter wechselt dorthin. Beim Öffnen wird immer der ERSTE Reiter geladen — Sie legen ihn fest, indem Sie einen Reiter mit der Maus ganz nach vorn ziehen (das geht jederzeit, auch ohne den Bearbeitungsmodus). Im Bearbeitungsmodus können Sie außerdem:
+- Über den Knopf am Ende der Leiste einen neuen, leeren Reiter anlegen — er heißt automatisch „Dashboard 2", „Dashboard 3" und so weiter.
+- Den Namen des gerade aktiven Reiters ändern: Klicken Sie auf den Stift daneben, geben Sie den neuen Namen ein und bestätigen Sie mit der Eingabetaste (Escape verwirft die Änderung).
+- Einen Reiter löschen: Klicken Sie auf das Kreuz daneben und bestätigen Sie die Rückfrage — seine Kacheln und seine Anordnung werden dabei mit gelöscht. Der letzte verbleibende Reiter lässt sich nicht löschen, der Knopf dafür erscheint dort gar nicht erst.
+
 **Widgets hinzufügen und anordnen:** Unten rechts auf dem Dashboard schwebt der Stift-Schalter **„Dashboard bearbeiten"**; im Bearbeitungsmodus wird daraus ein Häkchen **„Änderungen speichern"**, und daneben erscheint **„Widget hinzufügen"**. Sobald der Bearbeitungsmodus aktiv ist:
 - Erscheint der Button **„Widget hinzufügen"**, der eine Auswahl aller verfügbaren Widget-Typen als Kachel-Katalog öffnet. Ein Klick auf einen Eintrag fügt das Widget sofort dem Dashboard hinzu.
 - Können Sie bestehende Widgets per Ziehen an eine neue Position verschieben. Fassen Sie die Kachel dazu an einer beliebigen Stelle an — Eingabefelder, Knöpfe und Links ausgenommen; ein grauer Griff am oberen Kachelrand zeigt, dass die Kachel beweglich ist. Abgelegt wird nur dort, wo Platz ist: über einer anderen Kachel springt sie an ihren Ausgangspunkt zurück.
@@ -97,7 +102,7 @@ Für Uhr, Suchleiste, Kalender, Notizen, Favoriten, Bilderrahmen und XFrame gibt
 
 ## Die Module
 
-Aktuell stehen in Tessera vier Module zur Verfügung. Je nachdem, welche für Sie freigegeben sind, sehen Sie sie in der Seitenleiste unter ihrer jeweiligen Kategorie.
+Aktuell stehen in Tessera fünf Module zur Verfügung. Je nachdem, welche für Sie freigegeben sind, sehen Sie sie in der Seitenleiste unter ihrer jeweiligen Kategorie.
 
 ### Ausschreibungs-Radar
 
@@ -143,6 +148,20 @@ Unterstützte Dateiformate sind unter anderem `.pem`, `.crt`, `.cer`, `.der`, `.
 
 Ein einfaches Werkzeug, um zu prüfen, ob eine Internet-Domain verfügbar ist. Geben Sie einen Domain-Namen ein (z. B. `beispiel.de`) und klicken Sie auf „Prüfen" — das Ergebnis zeigt für die geprüften Endungen jeweils „Verfügbar" oder „Registriert" an, ergänzt um alternative Vorschläge.
 
+### Proxmox
+
+Das Modul zeigt den Zustand Ihrer Proxmox-Server auf einen Blick — für die drei Proxmox-Produkte PVE (Virtualisierung), PBS (Backup) und PMG (Mail-Gateway). Wichtig zu wissen: **Tessera verändert bei Proxmox nichts, es schaut nur zu.** Es gibt in diesem Modul keinen Weg, einen Server zu starten, zu stoppen, eine Sicherung auszulösen oder irgendeine Proxmox-Einstellung zu ändern.
+
+**Die Modulseite** zeigt eine Karte je eingetragenem Server: Name, Typ und Adresse, dazu die zuletzt gemessenen Werte — bei PVE Anzahl Knoten sowie laufende/gestoppte virtuelle Maschinen und Container samt Auslastung je Knoten, bei PBS die Belegung je Datenspeicher mit dem Zeitpunkt der letzten Sicherung und deren Prüfergebnis, bei PMG die Tageszahlen eingehender und ausgehender E-Mails sowie Spam- und Virenfunde. Ein Wert, der „unbekannt" anzeigt, bedeutet nicht, dass etwas kaputt ist — er bedeutet, dass dieser eine Messwert beim letzten Abruf nicht in der erwarteten Form geliefert wurde. Der Knopf **„Jetzt aktualisieren"** fragt alle eingetragenen Server neu ab; regulär geschieht das automatisch im Hintergrund, in dem Abstand, den Sie je Server eingestellt haben.
+
+**Einen Server anlegen** (nur für Administratoren, über den Link „Zu den Einstellungen"): Name, Typ (PVE/PBS/PMG), Adresse (z. B. `https://pve.intern:8006`) und Zugang. Beim Zugang wählen Sie zwischen einem API-Token oder Benutzername/Passwort — bei PMG bietet Tessera von vornherein nur Benutzername/Passwort an, weil dieses Proxmox-Produkt keine API-Token kennt. Ein einmal gespeichertes Geheimnis (Token oder Passwort) wird nie wieder im Klartext angezeigt; lassen Sie das Feld beim Bearbeiten leer, um es unverändert zu lassen, oder tragen Sie ein neues ein, um es zu ersetzen.
+
+**Zugangsrechte am Proxmox-Server:** Legen Sie dort für den Zugang, den Sie hier eintragen, ausschließlich eine NUR-LESE-Rolle an — Tessera braucht nie mehr. Bei PVE ist das die Rolle **PVEAuditor**, bei PBS **Audit** (beziehungsweise feiner **DatastoreAudit**), bei PMG **Auditor**.
+
+**Zertifikat prüfen:** Dieser Schalter steht standardmäßig auf „prüfen" (an). Nutzen Sie für einen Server ein selbstsigniertes oder sonst nicht vertrauenswürdiges Zertifikat, können Sie die Prüfung für **genau diesen einen Server** ausschalten — die Ausnahme gilt nie für einen anderen Server.
+
+**„Verbindung testen"** prüft den hinterlegten Zugang gegen den echten Server, ohne die zuletzt gemessenen Werte auf der Modulseite zu überschreiben. Bei Erfolg erscheint eine grüne Bestätigung; scheitert der Test, nennt die Meldung die Ursache in Alltagssprache — etwa „nicht erreichbar", „Zugang abgelehnt", „Rechte reichen nicht" oder ein Zertifikatsproblem.
+
 ## Persönliche Einstellungen
 
 Öffnen Sie **Einstellungen** über das Benutzermenü oben rechts. Der Bereich gliedert sich in zwei Kategorien in der linken Unterleiste:

docs/anleitung-entwicklung.md

@@ -400,6 +400,26 @@ Für ein Modul mit Unterrouten (Einstellungsseite, Verwaltungsansicht) orientier
 `dkv-fleet` oder `tender-radar` — beide haben zusätzliche `settings/page.tsx` bzw. weitere
 Unterverzeichnisse, die vom selben `layout.tsx` mitgedeckt werden.
 
+**Ein Modul mit Fremdsystem-Zugängen und Hintergrundabfrage:** `proxmox` (260923-dhh) ist die
+Vorlage dafür — mehrere verschlüsselte Fremdsystem-Zugänge je Mandant (`ProxmoxServer`, Vorbild
+`CalendarSource`, nicht `DkvModuleConfig`), ein Zwischenlager, das ein Hintergrunddienst
+beschreibt und das die Modulseite ausschließlich liest (`ProxmoxServerStatus`), sowie ein
+Planer, der `onApplicationBootstrap` statt `onModuleInit` nutzt und je Mandant einen eigenen
+Cron-Auftrag registriert (`proxmox-scheduler.service.ts`, kombiniert die Muster von
+`DkvSchedulerService` und `TenderSchedulerService`).
+
+**Die `undici`-Dispatcher-Falle unter Node 24:** wer aus Gewohnheit das globale `fetch` statt
+`import { fetch as undiciFetch } from 'undici'` verwendet, bekommt beim Kompilieren KEINEN
+Fehler, sondern eine zur Laufzeit STILLSCHWEIGEND ignorierte `dispatcher`-Option — ein
+selbstsigniertes Zertifikat wird dann trotz bewusst abgeschalteter Prüfung weiterhin abgelehnt,
+was beim ersten Test verwirrend aussieht, als sei die Datenbank-Einstellung falsch gelesen
+worden. Node 24 bündelt intern eine eigene `undici`-Kopie, die vom global gepatchten `fetch`
+verwendet wird — ein `Agent` aus dem npm-Paket `undici` ist eine ANDERE Klasse und wird von
+diesem globalen `fetch` ignoriert. Gemessen und dokumentiert in
+`apps/api/src/favorites/icon-discovery.service.ts:33-40` (erstes Auftreten) und in
+`apps/api/src/proxmox/proxmox-client.service.ts` (zweites, unabhängig davon konstruiertes
+Auftreten mit demselben Befund).
+
 ### Eine Kachel zum Modul
 
 Ein Modul kann zusätzlich als Kachel auf dem Dashboard erscheinen. Seit

docs/mandantentrennung-zugriffsklassifikation.md

@@ -168,16 +168,17 @@ Spalten sind mit der Schleife aus dem Gate von 260914-eym nachgerechnet
 | dkv | 0 | 22 | 1 | **war 21/0** — Aufgabe 2/3 (260909-mir) haben `dkv.service.ts` vollständig auf `forTenant()` umgestellt: Konfigurationspfade (`loadConfig`, `getConfigForApi`, `saveConfig`, `testConnection`), Historie, Fahrzeugstammdaten und der neue Besitzriegel vor dem Ausfuhrdatei-Download. Gebunden sind es 22 statt 21, weil der Riegel einen zusätzlichen Lesezugriff auf `dkvInvoiceHistory` einführt (T-MIR-03). Der eine verbleibende ungebundene Treffer war der benannte Planer-Startpfad `loadAnyActiveConfigForScheduler()` (Befund D, WINDOWS #21). **260914-eym:** ersetzt durch `loadActiveConfigsForScheduler()` über `forSystem()` (1→0 ungebunden, 1 System) — WINDOWS #21 geschlossen |
 | user | 8 | 14 | 0 | **war 17/0** — Aufgabe 2/3 (260910-das) haben `user.service.ts` (`findById`/`create`/`update`/`deactivate`/`delete` sowie die zwei neuen Plattform-Administratorsicht-Methoden), `admin-seed.service.ts` (Erstanlage des Administrators) und `user.controller.ts` (Benutzerliste des ADMIN-Zweigs, alle drei Kennungswege ueber die Dienstmethoden, alle fuenf Selbstbedienungszugriffe) auf `forTenant()` umgestellt. Die 8 verbleibenden ungebundenen Rohtreffer sind bewusst: `findByUsername` in `user.service.ts` (plattformweit eindeutiger Schluessel, derselbe Fall wie `resolveEmailForWrite` im Bereich `ldap`), die Erstanlage-Pruefung und beide Zugriffe auf `tenant` in `admin-seed.service.ts`, sowie der neue Schleifentreiber `this.prisma.tenant.findMany` der beiden Plattform-Administratorsicht-Methoden in `user.service.ts` (`Tenant` traegt keinen Zeilenschutz) |
 | module-registry | 7 | 10 | 0 | **war 17/0** — Aufgabe 2/3 (260910-exd) haben `module-access.service.ts` (`getAccessibleModuleIds`: Kurzschlusszweig, Direktweg, Gruppenweg, Schnittmenge; `getCatalogFlags`: eigener Aktivierungs-Lesezugriff) und `module-registry.service.ts` (`findActiveForTenant`, `activateForTenant`, `deactivateForTenant`, `isModuleActive`) auf `forTenant()` umgestellt. Die 7 verbleibenden ungebundenen Rohtreffer sind bewusst: der eine Katalogzugriff in `module-access.service.ts` (`findAccessibleModules`) und die sechs Katalogzugriffe in `module-registry.service.ts` (`findAll`, `findBySlug`, die beiden Katalog-Existenzpruefungen in `activateForTenant`/`deactivateForTenant`, die Katalogsuche in `isModuleActive`, `seedModule`) — der Modulkatalog (`Module`) traegt heute keinen Zeilenschutz, eine Bindung waere heute wirkungslos, nicht katastrophal; katastrophal wuerde sie erst, WENN Etappe 3 dieser Tabelle eine Regel gibt (Befund E) |
-| dashboard | 1 | 21 | 1 | **260922-hk4:** 18→21 gebunden, 0→1 System — die Bilderrahmen-Bilder liegen jetzt im Dateibereich statt in der Spalte `data`. Drei zusätzliche gebundene Rohtreffer in `dashboard-images.service.ts`: das Nachtragen von `storagePath` nach dem Upload (die UUID steht erst nach `create` fest), das Zurücknehmen der Zeile bei fehlgeschlagenem Schreiben, und das Nachtragen im Umzug beim Start. Der eine System-Rohtreffer ist die Lesehälfte dieses Umzugs (`onApplicationBootstrap`, Zeilen ohne `storagePath` über ALLE Mandanten, Muster DKV-Planer) — geschrieben wird auch dort je Zeile mandantengebunden. Nachgemessen mit der Gate-Schleife. Vorher: **260921-pi9:** 12→18 gebunden — `dashboard-images.service.ts` (Bilderrahmen) bringt sechs gebundene `dashboardImage`-Rohtreffer (`findMany`, `count`, `create`, zweimal `findUnique`, `delete`), nachgemessen mit der Gate-Schleife. Vorher: **war 13/0** — Aufgabe 2/3 (260910-krx) haben `dashboard.service.ts` vollständig umgestellt: `getLayout`/`saveLayout` (gemeinsam gebunden), `getWidgets`/`addWidget`/`updateWidgetConfig`/`removeWidget` sowie `getSearchProviders`/`addSearchProvider`/`removeSearchProvider` laufen über `forTenant()`, je Methode ein Klient. Der eine verbleibende ungebundene Rohtreffer ist bewusst: der Modulkatalog (`Module`) trägt heute keinen Zeilenschutz, eine Bindung wäre heute wirkungslos, nicht katastrophal — katastrophal würde sie erst, WENN Etappe 3 dieser Tabelle eine Regel gibt (Befund E aus `module-registry`, hier übernommen) |
+| dashboard | 1 | 28 | 1 | **quick-260923-ad9 (Task 5, Endstand nach Task 2):** 24→28 gebunden — Task 2 (Reiter anlegen/umbenennen/löschen/umsortieren) bringt vier weitere gebundene `tenantPrisma.dashboard.`-Rohtreffer in `dashboard.service.ts`: `createDashboard` (`findMany` der vorhandenen Namen, `create`), `renameDashboard` (`update`), `deleteDashboard` (die Zählung vor dem Löschen). Die Schreib-/Lese-Zugriffe INNERHALB der `withTenantTransaction` in `deleteDashboard`/`reorderDashboards` (`tx.dashboard.*`, `tx.widgetInstance.deleteMany`, `tx.dashboardLayout.deleteMany`) zählt diese einfache Rohtrefferzählung strukturell NICHT mit — dieselbe dokumentierte Lücke wie bei `groups.service.ts` (siehe Kopf dieses Abschnitts); sie sind trotzdem gebunden (jeder Aufruf von `withTenantTransaction(` zählt als gebunden) und stehen deshalb bereits als `gebunden` in den Paaren `dashboard`/`widgetInstance`/`dashboardLayout` unten. Nachgemessen mit der Gate-Schleife. Vorher: **quick-260923-ad9 (Task 1):** 21→24 gebunden — die neue Reitertabelle bringt drei gebundene `dashboard`-Rohtreffer in `dashboard.service.ts` (zwei `findMany` in `listDashboards`, ein `findUnique` im Riegel `assertOwnedDashboard`), nachgemessen mit der Gate-Schleife. Vorher: **260922-hk4:** 18→21 gebunden, 0→1 System — die Bilderrahmen-Bilder liegen jetzt im Dateibereich statt in der Spalte `data`. Drei zusätzliche gebundene Rohtreffer in `dashboard-images.service.ts`: das Nachtragen von `storagePath` nach dem Upload (die UUID steht erst nach `create` fest), das Zurücknehmen der Zeile bei fehlgeschlagenem Schreiben, und das Nachtragen im Umzug beim Start. Der eine System-Rohtreffer ist die Lesehälfte dieses Umzugs (`onApplicationBootstrap`, Zeilen ohne `storagePath` über ALLE Mandanten, Muster DKV-Planer) — geschrieben wird auch dort je Zeile mandantengebunden. Nachgemessen mit der Gate-Schleife. Vorher: **260921-pi9:** 12→18 gebunden — `dashboard-images.service.ts` (Bilderrahmen) bringt sechs gebundene `dashboardImage`-Rohtreffer (`findMany`, `count`, `create`, zweimal `findUnique`, `delete`), nachgemessen mit der Gate-Schleife. Vorher: **war 13/0** — Aufgabe 2/3 (260910-krx) haben `dashboard.service.ts` vollständig umgestellt: `getLayout`/`saveLayout` (gemeinsam gebunden), `getWidgets`/`addWidget`/`updateWidgetConfig`/`removeWidget` sowie `getSearchProviders`/`addSearchProvider`/`removeSearchProvider` laufen über `forTenant()`, je Methode ein Klient. Der eine verbleibende ungebundene Rohtreffer ist bewusst: der Modulkatalog (`Module`) trägt heute keinen Zeilenschutz, eine Bindung wäre heute wirkungslos, nicht katastrophal — katastrophal würde sie erst, WENN Etappe 3 dieser Tabelle eine Regel gibt (Befund E aus `module-registry`, hier übernommen) |
 | auth | 3 | 10 | 0 | **war 8/5** — 260911-fh9 (Aufgabe 2) hat `getMe`, `changePassword`, `adminResetPassword` (fünf Rohtreffer auf `user`, drei Methoden) auf `forTenant()` umgestellt. Die 3 verbleibenden ungebundenen Rohtreffer sind die `$queryRaw`-Aufrufe der drei Anmeldefunktionen (`validateUser`, `requestPasswordReset`, `resetPassword`) — KEINE Modellzugriffe (`$` liegt nicht in `[a-zA-Z]`, die Bestandsaufnahme führt sie deshalb nicht als (Datei, Modell)-Paar), bewusst und dauerhaft ungebunden, siehe `20260909160000_auth_lookup_functions` und `docs/mandantentrennung-etappe2-fehlerrichtung.md`, Abschnitt "## Bereich auth", (h1) |
 | calendar | 0 | 12 | 0 | **war 12/0** — Aufgabe 2 (260911-cwh) hat `calendar.service.ts` vollständig auf `forTenant()` umgestellt: `getSources`, `addSource`, beide Abfragen von `updateSource`/`deleteSource`, alle drei Abfragen von `testConnection`, Laden plus beide Synchronstatus-Rückschreibungen von `fetchAndCacheEvents` — je Methode ein Klient. Anders als bei den sieben Bereichen davor bleibt KEIN ungebundener Rest übrig: `CalendarSource` trägt eine Pflicht-Mandantenkennung, und kein Pfad dieses Bereichs liest über Mandanten hinweg |
 | tenant | 8 | 3 | 0 | **war 8/0** — 260911-e2s (Aufgabe 3) hat drei gebundene Benutzerzähler in `tenant.controller.ts` eingeführt (Fan-out je Mandant nach dem Muster von `UserService.findAllForPlatformAdmin`, ersetzt die drei vorherigen Relationszähler); die acht `tenant`-Zugriffe selbst BLEIBEN ungebunden — `Tenant` trägt keine Regel in irgendeiner ausgelieferten Migration (260911-e2s Aufgabe 1, Prüfung 1/2), hier ist Ungebundenheit richtig, nicht geduldet |
 | favorites | 0 | 8 | 0 | **war 7/0** — 260911-gwh (Aufgabe 2) hat `favorites.service.ts` vollständig auf `forTenant()` umgestellt: `list`, `create`, `update`, `remove`, `getIconBytes` laufen je über EINEN Klienten `tenantPrisma` (7 gebundene `favoriteLink`-Rohtreffer); `create` prüft zusätzlich über einen gebundenen `widgetInstance.findUnique`, dass das Ziel-Widget dem Aufrufer gehört (T-GWH-05, Befund F aus Aufgabe 1: der Fremdschlüssel prüft am Zeilenschutz vorbei) — der achte gebundene Rohtreffer dieser Zeile |
 | bug-reports | 0 | 1 | 0 | neu (260914-m97), ein gebundener Zugriff |
 | settings | 0 | 4 | 0 | **Nachgemessen 260921-pi9: 4 gebundene Rohtreffer** (die Tabelle nannte 3; der vierte `smtpConfig`-Zugriff kam mit 260914-m97/`bugReportRecipient` hinzu, ohne dass die Zeile nachgezogen wurde). **war 4/0** — 260911-gwh (Aufgabe 2) hat `getSmtpConfig`, `saveSmtpConfig`, `getDecryptedSmtpConfig` auf `forTenant()` umgestellt (3 gebundene `smtpConfig`-Rohtreffer). Der eine verbleibende ungebundene Rohtreffer war der umbenannte Planer-Startpfad `loadAnySmtpConfigForStartupTransport()` (Befund D, WINDOWS #30). **260914-eym:** GELÖSCHT — `MailService` baut je Versand einen Transport über `getDecryptedSmtpConfig(tenantId)` (1→0 ungebunden, 0 System, kein Systemkontext nötig); Befund K (`tenders`/`dkv`/`mail` hängen an `getDecryptedSmtpConfig`) ist damit erfüllt — WINDOWS #30 geschlossen |
-| **Summe** | **61** | **190** | **6** | **260922-hk4:** Gebunden 187→190, System 5→6 (beides `dashboard`, siehe dortige Zeile), Ungebunden unverändert — nachgerechnet mit derselben Gate-Schleife, nicht abgeschrieben. **260921-pi9:** Gebunden 179→187, nachgerechnet mit der Gate-Schleife: +6 in `dashboard` (Bilderrahmen), +1 in `settings` (Zeile war seit 260914-m97 um eins zu niedrig), +1 fuer `bug-reports` (Zeile seit 260914-m97 vorhanden, in der Summe aber nie mitgezaehlt) — die Summe stimmt damit wieder mit den Bereichszeilen ueberein. **260914-eym:** Ungebunden 68→61 (`tenders` −2, `ldap` −3, `dkv` −1, `settings` −1), Gebunden 178→179 (`ldap` +1), System 5 (`dkv` 1, `ldap` 2, `tenders` 2) — nachgerechnet mit der Gate-Schleife, nicht abgeschrieben. Vorgeschichte: Ungebunden: war 118 nach 260910-das, dann 108 nach 260910-exd (module-registry 17→7), dann 107 nach 260910-jab (`tenders` 36→35, `listForUser` gebunden), dann 95 nach 260910-krx (`dashboard` 13→1), dann 83 nach 260911-cwh (`calendar` 12→0), unverändert nach 260911-e2s (`tenant` bleibt bei 8 ungebundenen Rohtreffern), dann 78 nach 260911-fh9 (`auth` 8→3), jetzt 68 nach 260911-gwh (`favorites` 7→0, `settings` 4→1). Gebunden: war 124, dann 134 nach 260910-exd (zusätzlich 10 in `module-registry`), dann 135 nach 260910-jab (zusätzlich 1 in `tenders`), dann 147 nach 260910-krx (zusätzlich 12 in `dashboard`), dann 159 nach 260911-cwh (zusätzlich 12 in `calendar`), dann 162 nach 260911-e2s (zusätzlich 3 in `tenant`), dann 167 nach 260911-fh9 (zusätzlich 5 in `auth`), jetzt 178 nach 260911-gwh (zusätzlich 8 in `favorites`, 3 in `settings`). Dies ist der ENDSTAND der Etappe 2: jeder verbleibende ungebundene Rohtreffer ist einer der in diesem Dokument benannten, bewusst ungebundenen Fälle. Diese Übersicht ist eine Buchführungshilfe; **autoritativ ist die Fundstellentabelle unten**, die `rls-access-inventory.spec.ts` bei jedem Lauf gegen den Quelltext prüft |
+| proxmox | 0 | 11 | 1 | **quick-260923-dhh (Aufgabe 5, Endstand):** 7→11 gebunden — `updateServer` (`proxmoxServer.findUnique` UND `.update`) und `deleteServer` (`proxmoxServer.findUnique` UND `.delete`) bringen vier weitere gebundene Rohtreffer, je ein Klient je Methode. Nachgemessen mit der Gate-Schleife (`grep -c` ueber `tenantPrisma\.\(proxmoxServer\|proxmoxServerStatus\)\.` in `proxmox.service.ts`: 10 fuer `proxmoxServer`, 1 fuer `proxmoxServerStatus`). Vorher: **quick-260923-dhh (Aufgabe 4):** 4→7 gebunden, 0→1 System — `proxmox.service.ts` bringt drei weitere gebundene Rohtreffer (`pollServer` mit `include: { status: true }` bleibt EIN Klient, `testConnection`, `listActiveServerIdsForTenant`, `loadActiveServersForTenantScheduling` — vier neue Methoden, aber `pollServer`s zweiter Zugriff war schon gezaehlt, macht drei zusaetzliche) und einen System-Rohtreffer (`loadActiveServersForScheduler()`, der einzige `forSystem()`-Aufruf des Moduls, Erlaubnisliste in `rls-access-inventory.spec.ts`). Vorher: **quick-260923-dhh (Aufgabe 1):** neu, vier gebundene Rohtreffer: `createServer` (`proxmoxServer.create`), `listWithStatus` (`proxmoxServer.findMany`), `pollServer` (`proxmoxServer.findUnique` UND `proxmoxServerStatus.upsert`, DERSELBE Klient in derselben Methode) |
+| **Summe** | **61** | **208** | **7** | **quick-260923-dhh (Aufgabe 5, Endstand):** Gebunden 204→208 (`proxmox` +4, siehe dortige Zeile), Ungebunden/System unverändert — nachgerechnet mit derselben Gate-Schleife, nicht abgeschrieben. Vorher: **quick-260923-dhh (Aufgabe 4):** Gebunden 201→204 (`proxmox` +3, siehe dortige Zeile), System 6→7 (`proxmox` +1) — nachgerechnet mit derselben Gate-Schleife, nicht abgeschrieben. Vorher: **quick-260923-dhh (Aufgabe 1):** Gebunden 197→201 (`proxmox` neu, +4, siehe dortige Zeile), Ungebunden/System unverändert. Vorher: **quick-260923-ad9 (Task 5, Endstand nach Task 2):** Gebunden 193→197 (`dashboard` +4, siehe dortige Zeile), Ungebunden/System unverändert — nachgerechnet mit derselben Gate-Schleife, nicht abgeschrieben. Vorher: **quick-260923-ad9 (Task 1):** Gebunden 190→193 (`dashboard` +3, siehe dortige Zeile), Ungebunden/System unverändert — nachgerechnet mit derselben Gate-Schleife, nicht abgeschrieben. **260922-hk4:** Gebunden 187→190, System 5→6 (beides `dashboard`, siehe dortige Zeile), Ungebunden unverändert — nachgerechnet mit derselben Gate-Schleife, nicht abgeschrieben. **260921-pi9:** Gebunden 179→187, nachgerechnet mit der Gate-Schleife: +6 in `dashboard` (Bilderrahmen), +1 in `settings` (Zeile war seit 260914-m97 um eins zu niedrig), +1 fuer `bug-reports` (Zeile seit 260914-m97 vorhanden, in der Summe aber nie mitgezaehlt) — die Summe stimmt damit wieder mit den Bereichszeilen ueberein. **260914-eym:** Ungebunden 68→61 (`tenders` −2, `ldap` −3, `dkv` −1, `settings` −1), Gebunden 178→179 (`ldap` +1), System 5 (`dkv` 1, `ldap` 2, `tenders` 2) — nachgerechnet mit der Gate-Schleife, nicht abgeschrieben. Vorgeschichte: Ungebunden: war 118 nach 260910-das, dann 108 nach 260910-exd (module-registry 17→7), dann 107 nach 260910-jab (`tenders` 36→35, `listForUser` gebunden), dann 95 nach 260910-krx (`dashboard` 13→1), dann 83 nach 260911-cwh (`calendar` 12→0), unverändert nach 260911-e2s (`tenant` bleibt bei 8 ungebundenen Rohtreffern), dann 78 nach 260911-fh9 (`auth` 8→3), jetzt 68 nach 260911-gwh (`favorites` 7→0, `settings` 4→1). Gebunden: war 124, dann 134 nach 260910-exd (zusätzlich 10 in `module-registry`), dann 135 nach 260910-jab (zusätzlich 1 in `tenders`), dann 147 nach 260910-krx (zusätzlich 12 in `dashboard`), dann 159 nach 260911-cwh (zusätzlich 12 in `calendar`), dann 162 nach 260911-e2s (zusätzlich 3 in `tenant`), dann 167 nach 260911-fh9 (zusätzlich 5 in `auth`), jetzt 178 nach 260911-gwh (zusätzlich 8 in `favorites`, 3 in `settings`). Dies ist der ENDSTAND der Etappe 2: jeder verbleibende ungebundene Rohtreffer ist einer der in diesem Dokument benannten, bewusst ungebundenen Fälle. Diese Übersicht ist eine Buchführungshilfe; **autoritativ ist die Fundstellentabelle unten**, die `rls-access-inventory.spec.ts` bei jedem Lauf gegen den Quelltext prüft |
 
-## Klassen-Verteilung (nach (Datei, Modell)-Fundstellen, 74 Paare)
+## Klassen-Verteilung (nach (Datei, Modell)-Fundstellen, 77 Paare)
 
 Stand 260909-jts (Aufgabe 3): 61 Paare aus dem vorherigen Durchlauf
 (260909-ipc) plus ein bisher vollstaendig unsichtbares Paar
@@ -201,6 +202,19 @@ muss-mandantengebunden) war in der Tabelle eingetragen, in dieser
 Verteilung aber nie mitgezaehlt. Beide Korrekturen (72→74, 35→37) sind
 gemessen, nicht geschaetzt.
 
+**Nachtrag 260923-ad9 (Task 1, Dashboard-Reiter):** 75 Paare — ein neues
+Paar `dashboard/dashboard.service.ts`/`dashboard` (muss-mandantengebunden,
+gebunden) fuer die neue Reitertabelle (`listDashboards`,
+`assertOwnedDashboard`). Nachgezaehlt mit `grep -cE "^\| apps/api/src/"
+docs/mandantentrennung-zugriffsklassifikation.md` ueber die
+Fundstellentabelle: vor diesem Eintrag standen dort 74 Zeilen. Die
+Uebersichtszeile `dashboard` und die Summenzeile unten sind mit derselben
+Gate-Schleife nachgerechnet (Rohtreffer, nicht Paare): `dashboard.service.ts`
+traegt jetzt drei zusaetzliche gebundene `tenantPrisma.dashboard.`-Rohtreffer
+(zwei `findMany` in `listDashboards`, ein `findUnique` in
+`assertOwnedDashboard`) — Bereich `dashboard` 21→24 gebunden, Summe
+190→193 gebunden, ungebunden und System unveraendert.
+
 **Stand 260909-laa (Aufgabe 2):** dieselben 62 Paare, keine neue Fundstelle
 hinzugekommen oder verschwunden — nur EINE Klasse hat sich verschoben:
 `tender-rss-feed.service.ts`/`tenderRssFeedSource` wechselt von
@@ -329,11 +343,15 @@ entnommen (30 Zusicherungen, darunter der Wachhund
 
 | Klasse | Anzahl Paare |
 |---|---|
-| muss-mandantengebunden | 37 |
+| muss-mandantengebunden | 40 |
 | keine-mandantengebundene-tabelle | 21 |
 | beides | 14 |
 | bewusst-uebergreifend | 2 |
-| **Summe** | **74** |
+| **Summe** | **77** |
+
+quick-260923-dhh (Aufgabe 1): +2 `muss-mandantengebunden` (`proxmox.service.ts`/`proxmoxServer`
+und `/proxmoxServerStatus`, beide `gebunden`) — nachgerechnet mit der Gate-Schleife, nicht
+abgeschrieben.
 
 ## Der Hintergrunddienst als Falle — sechs Fälle
 
@@ -674,10 +692,11 @@ werden.
 | apps/api/src/bug-reports/bug-reports.service.ts | user | muss-mandantengebunden | gebunden | Fehler-melden-Knopf (quick-260914-m97): eine gebundene Leseoperation auf die Zeile des angemeldeten Benutzers (Anzeigename, E-Mail, Rolle fuer den Bericht), Mandant ausschliesslich aus dem Sitzungsnachweis. |
 | apps/api/src/calendar/calendar.service.ts | calendarSource | muss-mandantengebunden | gebunden | Kalenderquellen eines Nutzers je Mandant gebunden (encryptedPassword traegt Zugangsdaten zu externen Exchange-/CalDAV-Servern), `tenantId`-Spalte vorhanden. Seit 260911-cwh (Aufgabe 2) laufen alle zwoelf Zugriffe (`getSources`, `addSource`, beide Abfragen von `updateSource`/`deleteSource`, alle drei Abfragen von `testConnection`, Laden plus beide Synchronstatus-Rueckschreibungen von `fetchAndCacheEvents`) ueber `forTenant()`, ein Klient je Methode; `fetchAndCacheEvents`/`refreshCacheInBackground` nehmen die Mandantenkennung als Parameter, Letztere traegt die Kennung der urspruenglichen Anfrage. Die drei Besitzpruefungen (`updateSource`/`deleteSource`/`testConnection`, Vergleich gegen `userId` aus dem Sitzungsnachweis) bleiben zusaetzlich bestehen — die Regel auf `CalendarSource` kennt keine Benutzerdimension (260911-cwh, Aufgabe 1, gemessen), sie sind bis zur Etappe-3-Entscheidung (2) der einzige Schutz zwischen Kollegen DESSELBEN Mandanten. Benutzerdimension seit 20260911120000 (260911-nke). |
 | apps/api/src/dashboard/dashboard-images.service.ts | dashboardImage | muss-mandantengebunden | system-gebunden | **260922-hk4:** Stand von `gebunden` auf `system-gebunden` — NICHT weil ein Anfrageweg aufgeweicht wurde, sondern weil EIN Startpfad dazugekommen ist: `onApplicationBootstrap()` zieht die Bilder einmalig aus der Spalte `data` in den Dateibereich (`user-files/dashboard-images/<userId>/<id>.<ext>`) und muss dafür die noch nicht umgezogenen Zeilen ALLER Mandanten sehen (`const systemPrisma = forSystem(this.prisma)`, ein Aufruf, Erlaubnisliste in `rls-access-inventory.spec.ts`; Leserecht über `system_read_policy … FOR SELECT` auf "DashboardImage", Migration 20260922120000). GESCHRIEBEN wird auch dort je Zeile über `forTenant(prisma, row.tenantId, row.userId)` — einmal-lesen-viele-bedienen, Muster DKV-Planer. Die Bytes selbst liegen seither auf der Platte, die Zeile hält nur noch `storagePath` (Muster `User.avatarPath`); der Dateiname ist IMMER servergeneriert (UUID der Zeile + Endung aus dem ERKANNTEN Mime-Typ), `originalName` kommt in keinem Pfad vor (T-HK4-01). Alle vier Anfragewege sind unverändert mandantengebunden: Hochgeladene Bilder des Bilderrahmen-Widgets (quick-260921-pi9), gehoeren dem hochladenden Benutzer; `tenantId`-Spalte vorhanden, Regel `tenant_isolation_policy` MIT Benutzerdimension von Anfang an (Migration 20260921120000, Form aus 20260911120000). Alle vier Methoden (`list`, `upload`, `getBytes`, `remove`) holen je einen Klienten `const tenantPrisma = forTenant(this.prisma, tenantId, userId)`; Liste und Zaehler filtern zusaetzlich explizit `where: { tenantId, userId }`, `getBytes`/`remove` pruefen den Besitz anwendungsseitig (`row.userId !== userId || row.tenantId !== tenantId` -> 404, nie 403) — zweites Netz, kein Ersatz, weil der RLS-Schalter heute aus ist. `select` der Liste/Upload-Antwort ohne `data` (Bytes nur ueber `GET :id`). |
-| apps/api/src/dashboard/dashboard.service.ts | dashboardLayout | muss-mandantengebunden | gebunden | Widget-Anordnung eines Nutzers, `tenantId`-Spalte vorhanden. Seit 260910-krx (Aufgabe 2) laufen `getLayout`/`saveLayout` GEMEINSAM ueber `forTenant()`, ein Klient je Methode; `saveLayout` uebersetzt eine `PrismaClientUnknownRequestError` (RLS-Konflikt auf der plattformweit eindeutigen `userId`, gemessen in Aufgabe 1 — NICHT die `P2002`-Form, die der Bereich `tenders` abfaengt) in eine deutsche Konfliktmeldung. |
+| apps/api/src/dashboard/dashboard.service.ts | dashboard | muss-mandantengebunden | gebunden | quick-260923-ad9 — Reiter (mehrere Dashboards je Benutzer), `tenantId`-Spalte vorhanden, Regel `tenant_isolation_policy` MIT Benutzerdimension von Anfang an (Migration 20260923120000, Form aus 20260911120000/20260921120000). Task 1: `listDashboards` liest ueber `forTenant()` und legt bei Bedarf genau einen Reiter an (Transaktionssperre `pg_advisory_xact_lock` innerhalb `withTenantTransaction`, T-AD9-07); der Riegel `assertOwnedDashboard` liest ueber DENSELBEN, bereits gebundenen Klienten des Aufrufers (kein zweiter `forTenant()`-Aufruf) und wirft fuer "gibt es nicht", "gehoert einem Kollegen" und "liegt bei einem fremden Mandanten" dieselbe `NotFoundException` (T-AD9-01/02/03). Task 2: `createDashboard`/`renameDashboard` laufen als Einzeloperationen ueber `forTenant()`, je Methode ein Klient (Riegel zuerst bei `renameDashboard`). `deleteDashboard`/`reorderDashboards` laufen je als EINE `withTenantTransaction` (mehrschrittig, muss atomar sein) — `withTenantTransaction` setzt KEINE Benutzerdimension in der Sitzung, deshalb traegt jede Bedingung `userId` selbst (`tx.dashboard.deleteMany({where:{id,userId}})`, `tx.dashboard.updateMany({where:{id,userId},...})`), wortgleiches Muster zu `favorites.service.ts`/`reorder` (260917-jdd). `deleteDashboard` entfernt zusaetzlich die Kacheln (`tx.widgetInstance.deleteMany`) und die Anordnung (`tx.dashboardLayout.deleteMany`) des Reiters in DERSELBEN Transaktion. |
+| apps/api/src/dashboard/dashboard.service.ts | dashboardLayout | muss-mandantengebunden | gebunden | Anordnung eines Reiters, `tenantId`-Spalte vorhanden. Seit 260910-krx (Aufgabe 2) laufen `getLayout`/`saveLayout` GEMEINSAM ueber `forTenant()`, ein Klient je Methode; `saveLayout` uebersetzt eine `PrismaClientUnknownRequestError` (RLS-Konflikt, gemessen in Aufgabe 1 — NICHT die `P2002`-Form, die der Bereich `tenders` abfaengt) in eine deutsche Konfliktmeldung. quick-260923-ad9 (Task 1): die eindeutige Spalte ist jetzt `dashboardId` statt `userId` (D-02) — beide Methoden pruefen vorher ueber `assertOwnedDashboard`, dass der Reiter dem Aufrufer gehoert. |
 | apps/api/src/dashboard/dashboard.service.ts | module | keine-mandantengebundene-tabelle | ungebunden | Modulkatalog ist plattformweit, kein `tenantId` (Migration 20260909140000, Gruppe b). MESSUNG (260910-krx, Aufgabe 1, uebernommen aus `module-registry`-Pruefung `module-tabelle-traegt-keinen-zeilenschutz`): die Tabelle traegt heute keinen Zeilenschutz, eine Bindung waere heute wirkungslos, nicht katastrophal. BEDINGUNG: katastrophal wuerde sie erst, WENN Etappe 3 dieser Tabelle eine Regel gibt. Die Katalogaufloesung fuer den Widget-Modulfilter (`ModuleAccessService.getAccessibleModuleIds`) bindet bereits seit 260910-exd in ihrem eigenen Dienst — hier NICHT ein zweites Mal gebunden. |
 | apps/api/src/dashboard/dashboard.service.ts | searchProvider | muss-mandantengebunden | gebunden | `tenantId` nullbar. WINDOWS #19 geschlossen (260910-jab) als **widerlegte Prämisse** für dieses Modell. In diesem Durchlauf (260910-krx, Aufgabe 1) EIGENSTAENDIG nachgeprueft, nicht aus 260910-jab abgeschrieben: `grep -rn "searchProvider\|SearchProvider" apps packages prisma --include=*.ts --include=*.mjs --include=*.js --include=*.sql --include=*.json` (ohne `node_modules`, `dist/`, `.next/`) findet weiterhin genau einen Schreibweg, `dashboard.service.ts:addSearchProvider` (`create`), mit `tenantId: string` als Pflichtparameter — keine Seed-Datei, kein Skript. Seit Aufgabe 2/3 laufen `getSearchProviders`/`addSearchProvider`/`removeSearchProvider` ueber `forTenant()`; die Regel auf `SearchProvider` bleibt UNVERAENDERT streng, zusaetzlich datenbankseitig verteidigt durch `searchprovider-gebundenes-einfuegen-ohne-mandant-abgelehnt` (Aufgabe 1). |
-| apps/api/src/dashboard/dashboard.service.ts | widgetInstance | muss-mandantengebunden | gebunden | Platzierte Dashboard-Widgets eines Nutzers, `tenantId`-Spalte vorhanden. Seit 260910-krx (Aufgabe 2) laufen `getWidgets`, `addWidget` sowie beide Paare aus Besitzpruefung und Schreibzugriff (`updateWidgetConfig`/`removeWidget`) ueber `forTenant()`; die vorgeschalteten Besitzpruefungen ueber die Benutzerkennung bleiben zusaetzlich bestehen (die Regeln dieses Bereichs kennen keine Benutzerdimension). Benutzerdimension seit 20260911120000 (260911-nke). |
+| apps/api/src/dashboard/dashboard.service.ts | widgetInstance | muss-mandantengebunden | gebunden | Platzierte Kacheln eines Reiters, `tenantId`-Spalte vorhanden. Seit 260910-krx (Aufgabe 2) laufen `getWidgets`, `addWidget` sowie beide Paare aus Besitzpruefung und Schreibzugriff (`updateWidgetConfig`/`removeWidget`) ueber `forTenant()`; die vorgeschalteten Besitzpruefungen ueber die Benutzerkennung bleiben zusaetzlich bestehen (die Regeln dieses Bereichs kennen keine Benutzerdimension). Benutzerdimension seit 20260911120000 (260911-nke). quick-260923-ad9 (Task 1): `getWidgets`/`addWidget` filtern/schreiben ueber `dashboardId` statt `userId` (D-02) — `assertOwnedDashboard` prueft vorher, dass der Reiter dem Aufrufer gehoert. |
 | apps/api/src/dkv/dkv.service.ts | dkvInvoiceHistory | muss-mandantengebunden | gebunden | DKV-Rechnungshistorie je Mandant, `tenantId`-Spalte vorhanden. Seit 260909-mir (Aufgabe 3) laufen beide Historien-Schreibzugriffe der Verarbeitungsstrecke, beide parallelen Lesezugriffe von `getHistory` und der neue Riegel vor dem Ausfuhrdatei-Download vollstaendig ueber `forTenant()`. |
 | apps/api/src/dkv/dkv.service.ts | dkvModuleConfig | muss-mandantengebunden | system-gebunden | Postfach-/Zugangsdaten des DKV-Moduls je Mandant. Seit 260909-mir (Aufgabe 2) laufen `loadConfig`, `getConfigForApi`, `saveConfig`, `testConnection` und der Konfigurations-Lesezugriff der Verarbeitungsstrecke ueber `forTenant()`. Seit 260914-eym liest der Planer-Startpfad `loadActiveConfigsForScheduler()` ueber `forSystem()` (alle aktiven Konfigurationen, nur lesend, `system_read_policy`) — kein ungebundener Zugriff mehr, WINDOWS #21 geschlossen; alle uebrigen Zugriffe bleiben mandantengebunden (Stand-Vorrang: system ohne ungebunden = `system-gebunden`). |
 | apps/api/src/dkv/dkv.service.ts | dkvVehicleMaster | muss-mandantengebunden | gebunden | Fahrzeugstammdaten des DKV-Moduls je Mandant. Seit 260909-mir (Aufgabe 3) laufen Fahrzeugliste, Anlegen, beide Paare aus Besitzpruefung und Schreibzugriff (Aendern/Loeschen), beide Zweige des CSV-Imports und der gebuendelte Lesezugriff beim Aufbau der Ausfuhrzeilen vollstaendig ueber `forTenant()`; die vorgeschalteten Besitzpruefungen bei Aendern/Loeschen bleiben zusaetzlich bestehen (Befund G — ein gebundenes UPDATE ueber die Kennung allein trifft eine fremde Zeile still, nicht laut). |
@@ -743,6 +762,8 @@ werden.
 | apps/api/src/user/user.controller.ts | user | muss-mandantengebunden | gebunden | Nutzerverwaltung innerhalb des Mandanten des anfragenden Admins (260910-das, Aufgabe 3): die Benutzerliste des ADMIN-Zweigs, alle drei Kennungswege (rollenabhaengig ueber `UserService.findById`/`findByIdForPlatformAdmin`) und alle fuenf Selbstbedienungszugriffe (Bild hochladen/loeschen/ausliefern, Akzentfarbe) laufen ueber `forTenant()`; die Rollenverzweigung zwischen mandantengebundener ADMIN-Sicht und der uebergreifenden `SUPER_ADMIN`-Sicht (ueber `UserService.findAllForPlatformAdmin`) bleibt bestehen. Der wirkungslose Selbstloesch-Riegel (Befund H, verglich gegen `currentUser.sub`, ein im Sitzungsnachweis nicht existierendes Feld) ist auf `currentUser.id` korrigiert. |
 | apps/api/src/user/user.service.ts | tenant | keine-mandantengebundene-tabelle | ungebunden | Schleifentreiber der neuen Plattform-Administratorsicht (`findAllForPlatformAdmin`/`findByIdForPlatformAdmin`, 260910-das, Aufgabe 2, Befund F/N) — `Tenant` hat keine `tenantId`-Spalte und traegt keinen Zeilenschutz (Aufgabe 1, `tenant-tabelle-ohne-zeilenschutz-bleibt-lesbar`). |
 | apps/api/src/user/user.service.ts | user | beides | gemischt | Klassenkorrektur (260910-das, Aufgabe 3): wechselt von `muss-mandantengebunden` auf `beides` wegen der einen bewusst ungebundenen Suche — wortgleich derselbe Praezedenzfall wie `ldap.service.ts`/`user` in 260909-ipc (`resolveEmailForWrite`). `findById`/`create`/`update`/`deactivate`/`delete` sowie die beiden neuen Plattform-Administratorsicht-Methoden laufen ueber `forTenant()`; `create`/`update` uebersetzen eine plattformweite Eindeutigkeitsverletzung (P2002) in eine deutsche Konfliktmeldung ohne Halter/Mandant zu nennen. `findByUsername` bleibt bewusst UNGEBUNDEN: der Anmeldeweg laeuft seit Etappe 1 ueber die drei SECURITY-DEFINER-Funktionen und hat diese Methode nicht mehr als Aufrufer (260910-das, Aufgabe 1, Teil 3: genau ein Treffer, die eigene Definition); eine gebundene Suche saehe einen fremden Halter des plattformweit eindeutigen `username` nicht und meldete faelschlich "frei". |
+| apps/api/src/proxmox/proxmox.service.ts | proxmoxServer | muss-mandantengebunden | system-gebunden | **quick-260923-dhh, Aufgabe 4:** Stand von `gebunden` auf `system-gebunden` — NICHT weil ein Anfrageweg aufgeweicht wurde, sondern weil EIN Startpfad dazugekommen ist: `loadActiveServersForScheduler()` liest beim Start des Planers `const systemPrisma = forSystem(this.prisma);` (ein Aufruf, Erlaubnisliste in `rls-access-inventory.spec.ts`; Leserecht ueber `system_read_policy … FOR SELECT` auf "ProxmoxServer", Migration 20260923140000) — der Planer muss die aktiven Server ALLER Mandanten sehen, um je Mandant einen Cron-Auftrag zu registrieren (Muster `DkvSchedulerService`). GESCHRIEBEN wird auch dort nur je Zeile gebunden. Sechs mandantengebundene Zugriffe blieben nach Aufgabe 4 bestehen: `createServer` (`proxmoxServer.create`), `listWithStatus` (`findMany`), `pollServer` (`findUnique`, mit `include: { status: true }` fuer die Zehn-Sekunden-Sperre), `testConnection` (`findUnique`), `listActiveServerIdsForTenant` (`findMany`), `loadActiveServersForTenantScheduling` (`findMany` auf `proxmoxServer`, `select: { pollIntervalMin: true }`). **Aufgabe 5** ergaenzt vier weitere: `updateServer` (`findUnique` UND `update`) und `deleteServer` (`findUnique` UND `delete`), je ein Klient je Methode — macht zehn mandantengebundene `proxmoxServer`-Rohtreffer insgesamt, plus der eine System-Rohtreffer aus Aufgabe 4. Vorher (Aufgabe 1): vom Administrator eingetragene Proxmox-Server (PVE/PBS/PMG), `tenantId`-Spalte vorhanden, Regel `tenant_isolation_policy` OHNE Benutzerdimension (Migration 20260923140000, Form aus `DkvModuleConfig`) — Verwaltungsdaten des Mandanten, nicht persoenliche Daten eines Benutzers. `listWithStatus` waehlt die beiden Geheimnisfelder (`encryptedTokenSecret`/`encryptedPassword`) per `select` gar nicht erst aus (T-DHH-01). |
+| apps/api/src/proxmox/proxmox.service.ts | proxmoxServerStatus | muss-mandantengebunden | gebunden | quick-260923-dhh, Aufgabe 1/4 — Zwischenlager je Server (D-05), `tenantId`-Spalte vorhanden, Regel `tenant_isolation_policy` OHNE Benutzerdimension (Migration 20260923140000, dieselbe Form wie `proxmoxServer`). `pollServer` schreibt ueber `tenantPrisma.proxmoxServerStatus.upsert()`, DENSELBEN Klienten wie das Lesen des Servers in derselben Methode; dieselbe Methode liest zusaetzlich `include: { status: true }` fuer die Zehn-Sekunden-Sperre (Aufgabe 4, T-DHH-06) — ebenfalls ueber den gebundenen Klienten. Bewusst KEINE `system_read_policy` auf dieser Tabelle (anders als `proxmoxServer`) — der Planer-Startpfad liest nur die Serverzeilen, das Zwischenlager wird ausschliesslich je Mandant gebunden geschrieben, ein Systemlesezugriff hat keinen Aufrufer. |
 
 ## Was diese Etappe NICHT entscheidet