Release 0.5.0

docs/ACCEPTANCE.md

@@ -120,3 +120,31 @@
   ungewollten horizontalen Überlauf
 - Mobile Aufnahme des vollständigen Sendungsbaukastens visuell kontrolliert
 - `bash -n start.sh` und `git diff --check`: erfolgreich
+
+## Etappe 5
+
+| Kriterium                             | Nachweis                                                                                        | Stand                 |
+| ------------------------------------- | ----------------------------------------------------------------------------------------------- | --------------------- |
+| Lesbare Moderation                    | Prompter-Schrift, Einleitung und Überleitung im Browser; Recherche initial geschlossen          | erfüllt am 22.10.2026 |
+| Wiederherstellung                     | Live-Stand, Laufintervalle, Schriftgröße und Leseposition nach Neuladen geprüft                 | erfüllt am 22.10.2026 |
+| Keine doppelte Zeiterfassung          | Verhaltenstest wiederholt dieselbe Befehls-ID und findet genau ein Zeitintervall                | erfüllt am 22.10.2026 |
+| Explizite Präsentation                | Zweitfenster bleibt nach Start leer und ändert sich erst durch „Präsentieren“                   | erfüllt am 22.10.2026 |
+| Getrennte sichere Ausgabe             | anonymer Browserkontext prüft Text, Bild, HTML, JSON und fremde Medien ohne private Daten       | erfüllt am 22.10.2026 |
+| Reserve und Reihenfolge               | Reserve als nächstes Piece eingefügt; offene Reihenfolge und serverseitige Live-Grenze geprüft  | erfüllt am 22.10.2026 |
+| Popup- und Verbindungsfehler sichtbar | blockiertes Popup sowie unterbrochenes und wiederhergestelltes State-Polling im Browser geprüft | erfüllt am 22.10.2026 |
+| Reale OBS-Browserquelle               | lokale tokenisierte Browserausgabe vorhanden; kein OBS auf der Prüfmaschine                     | offen                 |
+
+## Ausgeführte Prüfungen Etappe 5
+
+- `npm run lint`: erfolgreich
+- `npm run check`: 0 Fehler und 0 Warnungen
+- `npm test`: 20 Tests in 5 Dateien erfolgreich
+- `npm run build`: erfolgreich mit `@sveltejs/adapter-node`
+- `npm run test:e2e`: 11 von 11 Browsertests erfolgreich
+- Anonymer zweiter Chromium-Kontext mit Präsentationstext, Quelle, geschütztem
+  Bild und gefiltertem JSON geprüft
+- Mobile Aufnahme der Live-Steuerung bei 390 × 844 Pixeln und Desktopaufnahme
+  der heinzlive-Ausgabe visuell kontrolliert
+- Popup-Blockade sowie Verbindungsabbruch und automatische Wiederverbindung im
+  Browser geprüft
+- `bash -n start.sh` und `git diff --check`: erfolgreich

docs/ARCHITECTURE.md

@@ -33,8 +33,9 @@ spätere API dieselben Regeln verwenden.
 
 ## Gesamtdatenmodell
 
-Die ersten vier Etappen materialisieren Identität, Inhaltsverwaltung und
-Sendungsplanung. Folgende Grenzen gelten für umgesetzte und spätere Bereiche.
+Die ersten fünf Etappen materialisieren Identität, Inhaltsverwaltung,
+Sendungsplanung und Live-Durchführung. Folgende Grenzen gelten für umgesetzte
+und spätere Bereiche.
 
 | Bereich     | Geplante Entitäten und Beziehungen                                                                                                        |
 | ----------- | ----------------------------------------------------------------------------------------------------------------------------------------- |
@@ -149,6 +150,32 @@ Vorschau in der Liste belegt bereits die anhand der Zeigerposition berechnete
 Zielhöhe und verdrängt dadurch die benachbarten Elemente. Persistiert wird erst
 beim Loslassen.
 
+## Live-Modus und Präsentationsgrenze
+
+`src/lib/server/live.ts` ist die Transaktionsgrenze der Live-Durchführung. Der
+Live-Stand besitzt eine eigene Revision. Jeder steuernde Befehl trägt zusätzlich
+eine vom Browser erzeugte Befehls-ID; `(show_id, command_id)` ist eindeutig und
+liefert bei Wiederholung das bereits gespeicherte Ergebnis. Tatsächliche Zeiten
+liegen als mehrere Start-/Endintervalle je Verwendung vor. Damit bleiben
+Zurückgehen, Wiederaufnahme und bereits abgeschlossene Laufzeit getrennt von der
+geplanten Dauer nachvollziehbar.
+
+Die interne Route `/live` benötigt weiterhin eine aktive Sitzung und darf
+Recherche, Moderation und eigene Arbeitsdaten lesen. Die separate Ausgabe
+`/heinzlive/[token]` liegt dagegen in einem reduzierten Layout ohne Navigation
+oder Nutzerdaten. In SQLite liegt nur der SHA-256-Hash des 256-Bit-Tokens; ein
+neu erzeugter Ausgabezugang widerruft den vorherigen. Page, Polling-JSON und
+Medienroute leiten ihre Daten aus einer eigenen Positivliste ab. Bilder werden
+nur ausgeliefert, wenn sie zum aktuell ausdrücklich präsentierten Piece gehören.
+Normale Auswahl, Fortschaltung oder Wiederaufnahme verändern den
+Präsentationsstand nicht.
+
+Die Ausgabe synchronisiert ihren kleinen öffentlichen Zustand per
+`no-store`-Polling. Der letzte gültige Inhalt bleibt bei einem Verbindungsfehler
+sichtbar; die Oberfläche kennzeichnet den Abbruch und versucht die Verbindung
+mit verlangsamtem Intervall erneut. Private Live-Daten werden nicht Teil dieses
+Zustandsobjekts.
+
 ## Oberflächenstruktur
 
 Die Hauptnavigation umfasst Eingang, Fundus, Sendungen, Archiv und Verwaltung.
@@ -158,12 +185,9 @@ die untere Hauptnavigation die Seitenleiste vollständig. Auf breiten Ansichten
 stehen Fundus und Ablauf nebeneinander. Bis einschließlich `72rem` werden sie
 über eine gut erreichbare Umschaltung einzeln gezeigt, damit auch schmale
 Desktopfenster ohne horizontalen Überlauf bedienbar bleiben.
-Der Live-Modus ist eine eigene, fokussierte Ansicht; die spätere
-Präsentationsausgabe erhält eine separate, strikt reduzierte Datenansicht.
-
-Fundus und Sendungsbau sind produktive Arbeitsansichten. Der Live-Modus bleibt
-bis Etappe 5 eine sichtbare Gestaltungsvorschau, kann aber bereits gezielt die
-gewählte Sendung und deren kopierte Texte lesen.
+Der Live-Modus ist eine eigene, fokussierte Arbeitsansicht. Die
+Präsentationsausgabe verwendet eine separate, strikt reduzierte Datenansicht
+ohne interne Anwendungsnavigation.
 
 ## Sicherheitsgrenzen ab den Folgeetappen
 

docs/DECISIONS.md

@@ -202,3 +202,26 @@ Quellen:
 
 - <https://www.w3.org/WAI/WCAG22/Understanding/dragging-movements>
 - <https://svelte.dev/docs/kit/form-actions>
+
+## D-016: Live-Befehle idempotent, tatsächliche Zeiten als Intervalle
+
+Die Live-Steuerung verwendet eine eigene Revision und zusätzlich eine pro
+Bedienaktion erzeugte Befehls-ID. Die Datenbank akzeptiert jede Kombination aus
+Sendung und Befehls-ID nur einmal. Ein nach Verbindungsabbruch wiederholter
+Befehl liefert dieselbe Ergebnisrevision und erzeugt weder einen zweiten
+Statuswechsel noch ein zweites Zeitintervall. Laufzeit wird nicht als einzelner
+überschreibbarer Wert, sondern als Summe abgeschlossener und höchstens eines
+aktiven Intervalls ermittelt. Dadurch bleiben Zurückgehen und Wiederaufnahme
+korrekt.
+
+## D-017: Präsentationsausgabe als Positivliste mit gehashtem Zugang
+
+Die heinzlive-Ausgabe ist kein eingeschränkter Aufruf der internen Live-Ansicht,
+sondern eine eigene Datenprojektion. Zulässig sind ausschließlich ausdrücklich
+präsentierter Titel und Präsentationstext, öffentliche Quellen sowie zugehörige
+Bilder und Alternativtexte. Recherche, Einleitung, Moderation, eigene Notizen,
+Ablauf, Nutzer und interne Dateinamen werden nicht in HTML oder JSON übernommen.
+Ein zufälliger 256-Bit-Token steht in der URL, während SQLite nur seinen
+SHA-256-Hash speichert. Medienzugriff prüft Token, aktuelle Präsentation und
+Bildzuordnung gemeinsam. Synchronisierung erfolgt über kleines `no-store`-
+Polling statt über eine dauerhaft offene Serververbindung.

docs/STATUS.md

@@ -2,9 +2,10 @@
 
 ## Aktueller Umfang
 
-Etappe 1 bis Etappe 4 sind abgeschlossen. Architektur, Gesamtdatenmodell,
-Anmeldung, Rollen, persistente Inhaltsbearbeitung, Sendungsplanung und lokaler
-Betriebsweg sind dokumentiert. Etappe 5 wurde nicht begonnen.
+Etappe 1 bis Etappe 5 sind abgeschlossen. Architektur, Gesamtdatenmodell,
+Anmeldung, Rollen, persistente Inhaltsbearbeitung, Sendungsplanung,
+Live-Steuerung, Präsentationsausgabe und lokaler Betriebsweg sind dokumentiert.
+Etappe 6 wurde nicht begonnen.
 
 ## Umgesetzter Stand Etappe 1
 
@@ -37,9 +38,8 @@ umgebrochen.
 
 ## Noch nicht umgesetzt
 
-Echte Live-Steuerung, Präsentationsfenster, Archivabschluss, Freigaben, RSS und
-API. Die verbleibenden Vorschauen dürfen nicht als
-Implementierung dieser späteren Funktionen verstanden werden.
+Archivabschluss, Freigaben, RSS und API. Diese späteren Bereiche dürfen nicht
+als bereits implementiert verstanden werden.
 
 ## Umgesetzter Stand Etappe 2
 
@@ -90,6 +90,23 @@ Implementierung dieser späteren Funktionen verstanden werden.
   vor unbemerktem parallelem Überschreiben
 - realistischer Seed mit Standardablauf und eigenständigem Spieleabend
 
+## Umgesetzter Stand Etappe 5
+
+- fokussierte Moderationsansicht mit Prompter-Schrift, Einleitung, Moderation,
+  Überleitung und standardmäßig geschlossener privater Recherche
+- ausblendbare Zeit- und Ablaufanzeige sowie persistente lokale Leseposition
+- aktuelles und nächstes Piece samt Abschnitt und geplantem Zeitbedarf
+- persistenter Live-Stand mit tatsächlichen Laufintervallen, Erledigen,
+  Überspringen, Zurück und Wiederaufnahme
+- idempotente Live-Befehle verhindern doppelte Wirkung bei Wiederholung
+- serverseitig geschützte Umsortierung offener Pieces und Reserveeinfügung
+- explizite Präsentationsaktion; normale Live-Navigation verändert die Ausgabe
+  nicht
+- getrennte, tokenisierte heinzlive-Ausgabe mit Polling, Verbindungsanzeige,
+  Präsentationstext, Quellen und erlaubten Bildern
+- Ausgabe-HTML, JSON und Medienzugriff enthalten keine Recherche,
+  Moderationsnotizen, eigenen Notizen, Kontodaten oder internen Dateipfade
+
 ## Bekannte offene Betriebsprüfung
 
 Eine echte Cloudron-Installation samt Backup/Restore, Reverse-Proxy-Verhalten
@@ -98,6 +115,11 @@ durchgeführt werden. Auch der lokale Container-Smoke-Test blieb offen, weil
 auf der Prüfmaschine kein Docker-Daemon lief. Manifestkernfelder und
 Startskript-Syntax wurden lokal geprüft.
 
+Eine reale OBS-Browserquelle stand nicht zur Verfügung. Die tokenisierte
+Präsentationsausgabe wurde stattdessen in einem anonymen zweiten Chromium-
+Browserkontext einschließlich Bild, JSON-Filterung, Polling und sichtbarem
+Verbindungsabbruch geprüft.
+
 ## Verifizierte Umgebung
 
 - Node.js 22.23.1, npm 10.9.8