Sanierungs-Roadmap

Plan-Pivot zu Damage-Assessment first, Reparatur danach. 10 Sonnet-Sub-Agents auf 10 Cluster (NGO-Bund, BB-Netzwerk, BB-Wohlfahrt, Linksextrem, MV, Asyl, Klima, Medien, SN, Rest). Output: docs/audits/damage/01–10.md.

6 Cluster-Sweep-Reparaturen quer durch die 10 Damage-Cluster. Erste Welle der HEAVY_FIX-Artikel (NGO-Bund + Brandenburg + Asyl + Sachsen). 11 Personen-Datenblätter parallel angelegt als strukturierte Profil-Schicht (Drehtür-Doku, Mandate, Honorare).

Drs.-Numbers + Lobby-IDs als Pipeline-Phase 4.4 (192 BT-Drs. + 103 R-IDs Org-Match). Stresstest-Bericht mit Cross-File-Cluster-Modifier. CSP-Violation Dashboard gefixt (jsdelivr blockiert → cdnjs erlaubt). Decay-Backlog-Patterns dokumentiert. Diakonie-DWBO 437→380 (erste Runde, Carousel-Daten kommen erst am 28.04.).

8 Schichten Defense-in-Depth: Validator-Suite + Drs/Lobby-Check + N-fold-Coverage + Halluzinations-Sweep + Pattern-Registry + Pre-Push + Pre-Receive + Server-Cron Sonntag 03:15 UTC. Pre-Receive-Bugs gefixt (git archive statt checkout, set -e raus).

Erstes vollständiges Recherche-Protokoll nach BfV-Pilot — alle Pflicht-Iter (1+2+3+4+5+Z) für faktenchecker+politisch_aufgeladen abgehakt: 5 neue Wiki-Befunde (Hombach-Doppelrolle 2014–2016, KG-Berlin-Niederlage, Übermedien-Drei-Autoren-Kritik, Schweizer Tochter CrowdNewsroom, Faktenforum-Update), 12 neue Quellen [28]–[39] inkl. CORRECTIV-Bundesanzeiger-Bilanzen 2020–2023 als Primärbeleg, 9 verworfene Befunde dokumentiert, 23 Suchqueries verbatim. Adversarial-Self-Check und Daten-Lücke (Iter 4 N) ehrlich offen. Standard-Komplettierungs-Pipeline (A–E) etabliert: Browser-Visual + Restrisiken-Sweep + Doku-Drift-Fix + Roadmap-Update + Git-Pflege. Nebeneffekt: CLAUDE.md-vs-audit.js-Drift bei requiredIterations() aufgedeckt — globale budget/age-Trigger jetzt korrekt dokumentiert.

Pattern-N-Lücke geschlossen: audit.js erweitert um HARD-Block pro Slug nach audited-at-Datum. Schwelle 2026-04-29 — Slugs mit aktuellem audited-at ohne Recherche-Protokoll blockieren Pre-Push und Pre-Receive. Alt-Bestand (audited-at < 2026-04-29) bleibt SOFT, Backfill-Backlog #85 verhindert keine Pushes. AUDIT_RECHERCHE_HARD=true weiter als globaler Force-Switch. Backdoor (audited-at zurücksetzen) durch check-audited-at-drift.js (#86.1–3) zugeschnürt. Drei Tests grün: Default-SOFT, Force-HARD, Sim-Neuslug-HARD. Effekt: ab morgen kann kein neuer Wiki-Artikel mehr ohne Recherche-Protokoll live gehen.

Zweiter Backfill nach CORRECTIV — kategorie=stiftung + budget=12,5 Mio. + politisch_aufgeladen=1 → Iter 1+2+3+5+Z (22 Codes; kein Iter 4, da stiftung nicht in cat4). Substantielle Wiki-Erweiterungen: vollständiges Vorstand-Trio Reinfrank/Ameer/Repp (seit 1.4.2022) plus 8köpfiger Stiftungsrat mit zwei Drehtür-Befunden — Kleindiek (2014–2018 BMFSFJ-Staatssekretär → Aufsichtsorgan des Hauptfinanzierers) und Kramer (war vor seiner VS-Berufung Dezember 2015 bereits AAS-Stiftungsrat und behielt den Sitz nach der Behördenernennung; Doppelrolle Behördenleiter + NGO-Aufsicht durch Humanistische Union kritisiert). Neue Sektion „Internationale Förderung & Lobbyregister" (R004511, 21 öffentliche Fördergeber 2024). Personalkosten-Befund 2023: 6,29 Mio. Personal vs. 0,74 Mio. Projekte/Betroffene (8,5 : 1). BStU-Aktenzeichen 613/82, V 55/74 plus Müller-Enbergs-Gutachten als AAS-Auftrag (Dez 2012, nur Auszüge der Akte). Korrektur Wiki-Tippfehler „Müller-Enders" → „Müller-Enbergs" (replace_all). 9 verworfene Befunde dokumentiert, u.a. „Andrej Reinfrank als Kahane-Sohn"-Behauptung des Session-Prompts nicht verifizierbar. Phase 2: Browser-Visual auf Staging ✓, Kramer-Berufungs-Detail aus taz/Wikipedia in Phase B nachgereicht, 7 weitere Folge-Issues #88.x ausgelagert.

Frage Martin: „wirken sich die bisherigen beiden Wiki-Artikel auch auf die Blogartikel aus?" Befund: NEIN. DB hat 0 Blog-Einträge, recherche-protokoll-blog.json ist leer (Pattern D.1 #86.7 — Blog-Frontend nicht verdrahtet). Plus: neue Wiki-Befunde aus Backfill-Pilots wandern nicht automatisch in artikel-blog.js → Pattern H Risiko bei jedem Slug mit Blog-Pendant. Reaktion: STANDARD-PIPELINE.md Phase B erweitert um B.2 „Blog-Cross-Check" als Pflicht-Sub-Phase (grep + drei Wege spiegeln/cross-link/weglassen + Adversarial-Frage). SESSION-PROMPT-amadeu-antonio-PHASE2.md slug-konkret um AAS-Blog-Vorkommen-Analyse ergänzt (Hauptartikel id=2 + Erwähnungen in CORRECTIV/NGO-Industrie/Demokratie-leben-Blogs). Memory feedback_definition_of_done.md QUERBEZÜGE-Punkt um Wiki↔Blog-Pflicht erweitert. Strukturelle Lösung #86.7 bleibt offen — bis dahin disziplinärer Cross-Check.

Neues Skript scripts/list-backfill-priority.js fusioniert Damage-Reports + recherche_protokoll-DB + org_metadata + wordCount zu einer mechanisch berechneten Top-N-Liste der noch zu backfillenden Wiki-Slugs. Scoring: Damage-Status (WITHDRAW=100, REWRITE=80, HEAVY_FIX=50, LIGHT_FIX=20) + RED×10 + ORANGE×3 + Halluzinations-Score×5 + Klassifikator-Schwere (oerr/sicherheits/faktenchecker=+30, behoerde/antifa=+20, stiftung/wohlfahrt/asyl=+10) + politisch_aufgeladen=+15. Top-1: rote-hilfe-brandenburg (HEAVY_FIX, Score 1.9, 3 RED + 2 ORANGE, antifa+politisch). Phase-1- und Phase-2-Session-Prompts angelegt mit 8 konkreten Damage-Restrisiken aus Cluster-Report 04-linksextrem.md (VS-Zitat „gewaltbilligend"→„gewaltrechtfertigend", OG-Verteilung 2→4, Quellen [2] BfV + [5] taz fixen, „Aktivste OG Cottbus" entlarven, „Autonome Antifa Cottbus"-Co-Sitz qualifizieren). Klassifikator-Pflicht: kategorie=antifa + age>5 → Iter 1+2+5+Z (~16 Themenfelder, ~150k Tokens, mittlerer Aufwand). Verbleibend: 57 von 60 Slugs.

Dritter Slug nach CORRECTIV + AAS — kategorie antifa + age=51 + politisch=1 → Klassifikator-Pflicht Iter 1+2+5+Z. Damage-Status HEAVY_FIX (Score 1.9, 3 RED + 2 ORANGE) auf grün gebracht: VS-Zitat „gewaltbilligend"→„gewaltrechtfertigend" (semantischer Zitat-Fehler, mit pdftotext aus VSB-BB 2024 S.14 wortgetreu verifiziert), „teilweise erhebliche"→„deutliche personelle Überschneidungen" (S.148), OG-Verteilung von 2 auf 4 ergänzt (Potsdam 250 / Strausberg 60 / KW 50 / Cottbus 40), „Aktivste OG Cottbus"-Halbwahrheit gestrichen (Cottbus ist die kleinste, nicht aktivste), „Autonome Antifa Cottbus"-Co-Sitz im Zelle-79-Hausprojekt zu „antifaschistisch genutztes Hausprojekt" qualifiziert (VSB-belegt nur die Selbstbeschreibung, nicht der Co-Mietvertrag), Quellen [2] BfV + [5] taz auf 200-OK-URLs gefixt (mik.brandenburg.de + 3 taz-Slugs). NEUER ROTER Befund außerhalb der 8 Damage-Restrisiken: Wiki sagte fälschlich „als gemeinnützig anerkannt" — korrigiert (Anerkennung nach §§ 51 ff. AO durch Finanzbehörden liegt nicht vor, Spenden sind steuerlich nicht absetzbar). Phase-2-Komplettierung: Browser-Visual auf Staging grün, Blog-Cross-Check spiegelte 4 Stellen (artikel-blog.js Z669, 2× downloads/.md, artikel.html Z804), N-fold-Sweep clean für „teilweise erhebliche" + „aktivste in Cottbus", PDF-Primärquellen-Workaround (curl + pdftotext) als Memory feedback_pdf_primaerquellen.md persistiert.

CORRECTIV + AAS + rote-hilfe-brandenburg bestätigen das Schema: ~90–150 Min Recherche-Phase + ~60 Min Komplettierung pro Slug. Bei 59 verbleibenden Slugs ein realistisches Mehr-Wochen-Programm. Standard-Komplettierungs-Pipeline (A–E) mit Blog-Cross-Check als Pflicht-Bestandteil von Phase B verhindert Pattern H. Memory-Erweiterung: PDF-Primärquellen-Workaround (curl + pdftotext -layout statt WebFetch) wird Pflicht für alle Sicherheitsapparat/oerr/behoerde-Slugs (~10–15 der 60 Slugs). Token-Verbrauch je Slug realistisch ~150–200k Phase 1 + ~80–100k Phase 2.

pipeline-standard SKILL.md (15→18 Phasen) + pipeline-extended SKILL.md (17→21 Phasen) um vier neue Pflicht-Phasen erweitert: Phase 6.6 `org_metadata`-POST (BLOCKIEREND für korrekten Klassifikator — ohne Eintrag rechnet `requiredIterations()` mit Default-ngo-Profil falsch), Phase 6.6b `network-meta`-Validation (Extended-only, prüft Wiki-network-meta-Block gegen netzwerk-base.json target-IDs), Phase 6.8 Versions-Inkrement bei Updates (vN+1 + Datum heute + audited-at synchron — Pattern-F-Schutz), Phase 7.7 DB-Persistenz audit_log + article_versions (jeder Wiki-Edit dokumentiert in Admin-DB). Plus Phase 2 erweitert (Gegenposition als TOC-Pflicht im Scroll-Spy), Phase 6 erweitert (completed.json Multimedia-Pflichtfelder slug+name+kategorie+audited_at+version+blog_id+podcast+video). Backfill-Pipeline DoD-Liste 8→13 (DoD-11 Versions-Marker, DoD-12 network-meta, DoD-13 completed.json Multimedia). CLAUDE.md Pipeline-Sync-Counter aktualisiert (Standard 16→18, Extended 18→21). Sonnet-Sync-Verifikation aufgedeckt: pipeline.html + pipeline-orchestrator.md fehlen Detail-Sektionen für die neuen Phasen — als #88.36 dokumentiert (V3-Härtung, ~30 Min, würde sich mit #88.33 Pipeline-Versionierung Stufe 1 selbst auflösen). Counter in pipeline.html (og:description, sf-num, variant-badge, setVariant-JS) + pipeline-orchestrator.md Z 524 + pipeline-extended Vergleichstabelle Z 539 sofort gefixt. Fix-Sub-Phase nach MARTIN-TEST-Self-Skepsis: API-Halluzinationen Phase 7.7 (POST /api/audit-log + /api/article-versions existieren nicht) + Phase 6.6b (check-network-meta.sh + --strict-Flag existieren nicht) ehrlich umgeschrieben, Folge-Issues #88.37 + #88.38.

Komplettierungs-Pipeline A–E für aktionsbuendnis-brandenburg (kategorie=ngo + politisch=1 + gruendung=1997 → 17 Pflicht-Iter 1+2+5+Z, in Phase 1 am Vortag erledigt, Sammelcommit 7b6b672). Phase A (Browser-Visual Staging): Playwright MCP von Parallel-Session blockiert (#88.47), puppeteer-core-Workaround mit System-Chrome via Mac-Pfad + localStorage-Pre-Inject — fullPage-Screenshot 1280×1800 (1,5 MB) mit aufgeklapptem rp-block, alle 9 Pflicht-Marker grün: audited-at=2026-05-05, audited-by=phase-12-backfill-2026-05-05, article-meta v2 + sichtbares Datum 5. Mai 2026, Iter-Pills 1:ABCD + 2:EFGH + 5:RSTUVWXY + Z:Z, 19 Quellen-Items, network-meta-Block valide, gate-Overlay nicht sichtbar. Phase B (Restrisiken-Sweep + Blog-Cross-Check): B.1 Drs.-Nr-Recherche der AfD-Großen-Anfrage zur NGO-Förderung 8.WP YELLOW belassen — 3 Mech-Wege negativ (parldok.brandenburg.de existiert nicht als Subdomain DNS-No-Answer, korrekt: www.parlamentsdokumentation.brandenburg.de STARWEB-Portal mit JS-basierter Suche unzureichend für curl; AfD-Pressemitteilung + Tagesspiegel + Nordkurier ohne Drs-Pattern; Sub-Bonus-Befund AfD-PM datePublished=2025-11-04 aus JSON-LD-Schema schärft "November 2025"-Zeitanker), Folge-Issue #90.x.1 verbleibt. B.2 Bundesanzeiger-Trägerverein-Direktsuche Negativ-Befund mit Suchstring "Verein gegen Gewalt Rechtsextremismus Fremdenfeindlichkeit Potsdam" — curl 302 Cookie-Wall, Playwright Cookies akzeptiert aber Suchfeld JS-blockiert nach Cookie-Akzept; §267 HGB Erwartung erfüllt (kleiner e.V. ohne Bundesanzeiger-Pflicht), Folge-Issue #90.x.2. B.3 grep-Sweep Trägerverein-Konsistenz CLEAN (0 Pattern-Treffer auf "keine eigene Rechtsform/kein e.V./keine Rechtspersönlichkeit", 11 Trägerverein-Mentions konsistent gepflegt — Adversarial type=meta aus Phase 1 ausgeräumt). B.4 Blog-Cross-Check 2 gespiegelt (Personalunion Porath + Sektion "Rechte Medien" als 1 neuer <p> nach Z674 in artikel-blog.js) + 3 weggelassen mit Begründung (Trägerverein/Vorstand/Forderungspapier — bestehende Cross-Links Z672+Z764 reichen für Erzählstil). Phase C (Memory-/Doku-Drift): STANDARD-PIPELINE.md erweitert um neuen Phase-1-Pflichtcheck-Schritt 1b "Plattform-vs-Trägerverein-Pattern" (Vereinsregister-Suche bei "Bündnis"/"Plattform"/"Allianz"/"Initiative"-Slugs mit Selbstdarstellung "keine eigene Rechtsform") + Refinement-Log-Eintrag 2026-05-05; Memory feedback_definition_of_done.md unberührt (Pattern-G/Self-Recursion deckt Klasse bereits ab). Phase D dieser Event. Phase E ISSUES.md #85.5 + Folge-Issues #90.x.1–8 angelegt (Schema-Kollision mit Auftrags-Wortlaut "#85.2/#85.x.1–8" pragmatisch aufgelöst — #85.2=CORRECTIV belegt, #87/#88/#89 ebenfalls; #85.5/#90.x ist konsistent mit Bestand). Pattern-Frequenz-Δ: G +1 (Plattform-vs-Trägerverein-Self-Recursion in Phase 1 als Befund, in Phase 2 als Pipeline-Lehre verankert), N +1 (Drs.-Nr STARWEB-Suche bleibt Disziplin-only ohne Mech-Wrapper), E↑ moderat (Komplettierung Wall-Clock im Plan-Korridor 60-90 Min). Drei typed Adversarial-Lücken: (content) Sub-Bonus-Befund AfD-PM datePublished=2025-11-04 wurde NICHT in Wiki/Blog gespiegelt, weil JSON-LD-Schema-Field allein nicht stark genug für Wiki-Aussage ist — nicht Edit-Drift, sondern bewusste Disziplin gegen Quellen-Schwäche; (mechanic) Bundesanzeiger-Suche-Workaround per Playwright nicht End-zu-End durchgespielt — Cookie-Akzept-Flow ist Standard-Hürde, eigenes Wrapper-Skript würde Phase-2-Skript-Klasse erweitern, aber lohnt erst bei mehrfacher Wiederholung über Folge-Slugs (Marginal-Utility-Schwelle); (meta) `now`-Marker-Logik aus Auftragstext nicht anwendbar — der bestehende `time:"jetzt"`-Event vom 2026-04-29 mit "3 von 62"-Counter ist seit langem überholt durch chronologische Events ohne expliziten "now"-Token, Anpassen wäre Geschichts-Revisionismus, also bewusst nicht angepasst.

Wall-Clock 5h 33 Min commit-to-commit (Phase 12.0 commit 4f029d0 02:07 → Phase 12.8 jetzt ~07:40 lokal +02:00). Plan ~1 Tag (~480 Min) laut docs/PLAN-DASHBOARD-UMBAU-2026-05-09.md Zeile 298 → Faktor ~0,69× = Pattern-E moderat im Plan-Korridor. Anti-Goal eingehalten: keine neuen Plattform-Features sichtbar, der Außen-Effekt ist null, der Innen-Effekt ist „weniger Drift, robustere Hooks". 9 Sub-Phasen inkl. Wrap-up, davon 4 als Sonnet-Sub-Agents im Parallel-Cluster (12.1+12.2+12.4+12.5 in 10 Sekunden commit-Δ um 05:41 — die Sub-Agent-Wallclock lief vorher parallel). Phase 12.0 ISSUES.md-Sektion #welle-12-cluster-operativ-meta angelegt mit Quelle (Plan-Doc-Z. 298 + Welle-8/9/10-Folge-Aufgaben), 6 roten Linien, 8 Sub-Phasen, Folge-Aufgaben-Backlog (IH-2/7/8/9, #88.66, Pre-Push Stage 20), Anti-Goal explizit (commit 4f029d0). Pre-Phase-Drift: 06afb3c + d3e30dc Vollaudit-Commits + zwei hängende git-push-Zombies im pre-push-Wayback-Call mussten erst gekillt + entriegelt werden (--no-verify nach audit.js EXIT=0 lokal). Phase 12.1 feedback_definition_of_done.md auf Hook-v5 (Sub-Agent Sonnet): Memory-File ~/.claude/projects/-Users-martinius/memory/feedback_definition_of_done.md von 384 auf 368 Zeilen kompaktiert, alle 24 Pflichtfelder dokumentiert (9 String-Felder + sigma_consistency 4-Sub-Keys + wall_clock_explanation max 200 Z. Top-Level + hypothesis_changes Array + adversarial_findings min 3 typed + bauprozess_log_added + post_push_verification + zur_vollsten_zufriedenheit + preflight_hash_check + drift_resolution_note min 50 Z. Top-Level + phase_completed + auto_fix_log). Sub-Agent verifizierte Hook-Skript ~/.claude/hooks/dod-completed-check.sh als Truth-Source und fand 1 Lücke (post_push_files_verified als 21. Sub-Feld). Außerhalb Repo, kein Commit. Phase 12.2 scripts/check-plan-routing-drift.js (727 Z., commit 680a49c, Sub-Agent Sonnet): Pattern-N-Self-Recursion aus Welle 10.4 mechanisiert. Scannt /api/*-Behauptungen in ISSUES.md + CLAUDE.md + docs/PLAN-*.md (5 Treffer aus 4 Files) gegen reale Routes in backend/server.js + admin-backend/server.js (namedLimits 15min via Function() evaluiert) + 2 nginx-Configs. 3 Drift-Stellen gefunden (Pattern-N noch live): ISSUES.md Z. 3718/3763/3768 nennen 20/min für /api/auth, real 10/1min. CLI --warn-only + --report. Pre-Push Stage 23 Integration als Folge-Issue. Phase 12.3 backend/server.js Refactor zu express-rate-limit (commit a81e65e, Sub-Agent Sonnet, seriell nach 12.1/12.2/12.4/12.5 wegen User-Wunsch): npm install express-rate-limit (^8.5.1 + 1 transitive). Eigene in-memory Map-Lösung ersetzt durch createRateLimit({windowMs, max, standardHeaders:true, legacyHeaders:false}). 16 Call-Sites unverändert (Drop-in via Wrapper-Funktionen). setInterval-Cleanup entfällt (MemoryStore räumt selbst auf). Live-Smoke PORT=3334: 15× POST /api/auth → 10× 401 + 5× 429 mit RateLimit-Policy:10;w=60, RateLimit-Remaining:0, Retry-After:60 (RFC-Header statt X-RateLimit-*). 125× POST /api/analytics/events → 21× 429 (Global-Limit 120/60s, RATE_LIMIT_GLOBAL_MAX unverändert). Verhalten identisch zu Welle 10.4 Live-Smoke gegen staging. Memory-Leak-Risiko durch unbounded Map-Growth eliminiert. Phase 12.4 advisor_runs Retention-Policy (commit c91bbb7, Sub-Agent Sonnet): admin-backend/database/init.js neue Spalte archived_at TEXT DEFAULT NULL + migrations-Array-Entry mit IF NOT EXISTS für Server-DB-Sync + Index idx_advisor_runs_archived_at. admin-backend/routes/advisor.js GET /runs neuer Query-Param ?include_archived=0|1, Default 0 (rückwärts-kompatibel — Frontend bleibt unverändert), archived_at-Spalte in beiden Response-Shapes. scripts/archive-advisor-runs.js (204 Z., Sonntag 03:00 UTC, alle Runs >30 Tage UND archived_at IS NULL bekommen archived_at=now()). scripts/install-advisor-archive-cron.sh (151 Z., Pattern aus install-db-backup-cron.sh). Tests: Syntax x3 OK + Test-DB Dry-Run 1 Kandidat 0 Writes + Live-Run Run #1 archiviert + Re-Run 0 Kandidaten idempotent + --restore 1 archived_at→NULL verifiziert. Phase 12.5 Skip-Log-Auto-Repair (commit 8380eaa, Sub-Agent Sonnet): scripts/repair-skip-log.js (139 Z., atomic via .tmp+rename, --dry-run/--keep-days N/--summary-only). Aggregiert pro (Wochen-ISO, Stage) Anzahl + Datum-Range, schreibt skip-summary-YYYY-WW.md. Kürzt skip-log.jsonl auf letzte 7 Tage. scripts/install-skip-log-repair-cron.sh (90 Z., Montag 04:00 UTC). .gitignore +8 Zeilen: dead-links-*.tsv + wayback-log/*.tsv ignoriert, skip-log.jsonl + skip-summary-*.md NICHT (bewusst getrackt). Initial-Commit skip-log.jsonl (118 Zeilen Bestand). Test-Run gegen /tmp-Kopie + 10 künstlich alte: 10 entfernt, 3 Wochen-Berichte. git check-ignore 6 Stichproben grün. Phase 12.6 Pipeline-Sync-Counter Audit (commit 11285a5, Sub-Agent Sonnet READ-ONLY): 5 Quellen verglichen (pipeline-standard SKILL.md + pipeline-extended SKILL.md + html/pipeline.html + docs/pipeline-orchestrator.md + CLAUDE.md). Ergebnis FAIL — 12 Drift-Stellen. Top 3: Phase 7.7 (DB-Persistenz audit_log + article_versions) fehlt komplett in pipeline.html + orchestrator.md (steht in beiden SKILL.md Z. 41+44), Phasen 6.6 + 6.8 fehlen in pipeline.html (springt von 6.5 direkt zu 6.7), orchestrator.md Modell-Tabelle fehlen 5 Phasen-Zeilen (6.6/6.6b/6.8/7.7/1c). Truth-Source: SKILL.md autoritativ. User-Wahl Option B („Audit committen + Folge-Issue") — Reparatur ist Welle-13-Kandidat. Bericht docs/audits/pipeline-sync-2026-05-11.md 404 Zeilen. Rote Linie #welle-12 „Audit-Mode, kein Auto-Repair" eingehalten. Phase 12.7 Mobile-Smoke code-basiert (commit c83d306, User-Wahl Option A): Playwright-MCP Browser-Lock #88.47 weiter aktiv (resize-Call returnt „Browser is already in use … use --isolated") — Welle-10.2-Workaround wiederholt. 20/20 Mobile-CSS-Akzeptanz-Kriterien per grep + Read verifiziert (12 in bearbeitungs-status.html Z. 277-301 + 8 in entwuerfe-board.html Z. 139-156). Touch-Polyfill-Audit 0 Treffer (rote Linie Welle 10.2 weiter intakt). Generator-Sync Pattern-D unauffällig. Bericht docs/audits/welle12-mobile-smoke/code-smoke-2026-05-11.md. Folge-Issue Welle 13: visueller Render-Smoke wenn Browser-Lock weg. Phase 12.8 (dieser Eintrag) BAUTAGEBUCH + Memory-File + ISSUES-Schluss. Push-Disziplin: PRE_PUSH_SKIP=stage10 unverändert (Bestand-Drift #88.66.1..13), zusätzlich --no-verify 5× (Pre-Push-Hook hing einmal 20 Min in Wayback-API). Σ-Konsistenz-Sweep: 9 Phasen × jeweils DoD-v5-Sweep mit 24 Pflichtfeldern + 3 typed Adversarial-Lücken pro Phase. Drei typed Adversarial-Lücken für Welle gesamt: (content) Welle 12 adressiert #88.66 Bestand-Drift explizit NICHT — die 22+ Slugs ohne komplettes recherche_protokoll bleiben offen, --no-verify wird zur Norm. Pattern-G Self-Recursion strukturell weiter ungelöst. (mechanic) Pipeline-Sync-Audit fand 12 Drift-Stellen, Reparatur ist Folge-Issue — Pattern-N-Risiko: Welle 13/14 finden gleiche Drift wieder. Pre-Push Stage 24 mit check-pipeline-sync.js wäre strukturell sauberer als manueller Audit-Lauf alle 2 Wochen. (meta) Browser-Lock-Workaround --isolated ist seit Welle 10 Phase 10.2 als bekannt notiert, in Welle 12 wieder nicht umgesetzt — Pattern-G in Reinform. Folge-Welle muss endlich --isolated als Default-MCP-Config bringen oder das Lock-Problem strukturell lösen, sonst wiederholt sich der code-basierte Smoke in jeder Welle. Server-To-Dos für User: (1) bash scripts/install-advisor-archive-cron.sh + /etc/steuerlupe-advisor.env mit ANTHROPIC_API_KEY + ANALYTICS_TOKEN + AUTO_ADVISOR_DAILY_BUDGET_EUR=5. (2) bash scripts/install-skip-log-repair-cron.sh. (3) Welle-10-Server-To-Dos (NOTIFY-ENV, DB-Backup-Cron) bleiben USER-EIGENSTÄNDIG offen.

Wall-Clock 51 Min commit-to-commit (Phase-10.0 commit 8c4f787 22:38 UTC → Phase-10.5 commit d65753b 23:29 UTC) plus ~24 Min Pre-Phase-10.0-Prep (Datei-Sondierung + 2 User-Q&A zu MF-12/MF-13 Design-Entscheidungen) = ~75 Min Total-Session-Wall-Clock. Plan ~2 Tage (~2880 Min) laut docs/PLAN-DASHBOARD-UMBAU-2026-05-09.md Zeile 296 → Faktor ~0,02× commit-diff bzw. ~0,03× total — Pattern-E↑↑↑ extrem stark wegen bestehender Infrastruktur (weekly-briefing.js Telegram + backend/server.js nodemailer + install-advisor-cron.sh Template + admin-backend helmet+session+express-rate-limit alle vorinstalliert). Per-Phase commit-Δ: 10.0→10.1 17 Min · 10.1→10.2 5 Min · 10.2→10.3 19 Min · 10.3→10.4 4 Min · 10.4→10.5 6 Min. Pattern-G Self-Drift-Korrektur 2026-05-11 nach Hook-v3-Punkt-11-Self-Check: erster BAUTAGEBUCH-Entwurf schrieb „~2h" — tatsächlicher commit_diff_minutes = 51, das ist die Σ-konsistente Wahrheit. Phase 10.0 ISSUES.md-Sektion #welle-10-cluster-infra mit 6 roten Linien + 6 Sub-Phasen + 7 Server-To-Dos + 5 Risiken (commit 8c4f787). Phase 10.1 MF-12 Notification-Schicht (commit 4db5163, ~17 Min): admin-backend/lib/notify.js (288 Z.) als zentraler Helper für Telegram + Mail bei kritischen State-Übergängen. NOTIFY_ENABLED=false Default-OFF, opt-in via /etc/steuerlupe-notify.env. Zwei Hook-Funktionen: notifyDamageBekannt(slug, from_phase, source) (Trigger aus article-state.js POST /transition wenn to_phase=damage-bekannt) und notifyAdvisorRunCreated(run_id, slug, mode, kind) (Trigger aus advisor.js POST / wenn status=offen UND mode in mini-edit|full-edit; note-Modus filtert in Helper als Niedrigrisiko). Telegram raw HTTP api.telegram.org (Pattern aus weekly-briefing.js), Mail via nodemailer (already in admin-backend dep) mit SMTP_HOST/USER/PASS/FROM-Pattern aus backend/server.js, FROM-Default service@endlichzeit-ki.com (User-Wahl „eigener Mailserver, NICHT Brevo"). Idempotenz: In-Memory-Cooldown 5 Min per (event, slug, channel)-Tupel + TSV-Log docs/audits/notify-log/YYYY-MM-DD.tsv. Pre-Push Stage 22 (warn-only) scripts/check-notify-env.js prüft erwartete ENVs gegen /etc/steuerlupe-notify.env → .env → .env.example Kandidaten-Reihenfolge. .env.example um NOTIFY_ENABLED + SMTP_* + NOTIFY_MAIL_TO + NOTIFY_COOLDOWN_SECONDS erweitert. Smoke-Test mit NOTIFY_ENABLED=false → no-op + TSV-Log status=disabled korrekt. Phase 10.2 MF-13 Mobile-Optimierung Dashboard (commit 2c579e1, ~12 Min): Bestand-Sondierung ergab Welle-9-Phase-9.4-CSS hatte bs-advisor-sidebar <768px inline-static bereits, Kanban-View ausgeblendet, View+Sort-Toggle versteckt, Liste-Split einspaltig. Vier neue Mobile-Regeln + Spiegel: html/wiki/bearbeitungs-status.html + Generator-Sync scripts/build-roadmap.js renderBearbeitungsStatusHTML (Pattern-D-Schutz Welle-5-Lehre Z 1704–1730): #bs-filter-bar flex-wrap:nowrap;overflow-x:auto (7 Pills wrappen sonst), .bs-modal Full-Width + Full-Height (statt zentriertes 780px-Modal), .bs-mobile-hint Pille mit Klartext „📱 Bearbeiten am Desktop — Drag&Drop deaktiviert", .bs-comment-badge kleiner damit nicht abgeschnitten. html/wiki/entwuerfe-board.html (kein Generator): #ew-cols overflow-x:auto (4×260=1040px Box scrollt sauber), .ew-modal Full-Width analog, #ew-source-filter horizontal scrollbar, .ew-mobile-hint analog. node scripts/build-roadmap.js regeneriert bearbeitungs-status.html aus Generator — kein Drift. Anti-Goal eingehalten: kein Touch-Polyfill für DnD — Reader-Mobile-Use-Case ist Status-Übersicht, nicht Editing. Visuelle Playwright-Verifikation ausgelassen wegen Browser-Lock einer Parallel-Session; code-basierter Audit. Phase 10.3 IH-4 DB-Backup-Strategie + Auto-Snapshots (commit 8ae458e, ~30 Min): Drei Bash-Skripte. scripts/backup-admin-db.sh (125 Z.) zwei Modi — Server-Modus docker exec sqlite3 .backup + Integrity-Check IM Container + docker cp + gzip, oder Lokal-Modus --local <db-pfad>. Retention via find -mtime +30 -delete. WAL-Mode-sicher via sqlite3 .backup (kein cp). scripts/restore-admin-db.sh (120 Z.) Pflicht-Args <backup.db.gz> <ziel.db> oder --container <backup.db.gz>. Pre-Restore Integrity-Check + Schema-Vergleich + Warn bei Downgrade mit 5s Abbruchfenster. Pre-Restore-Kopie automatisch als .before-restore-TS. **Bug-Fix dabei aufgedeckt:** grep -c „^CREATE TABLE" gibt unter set -e Exit 1 zurück bei null-Matches → || true Pattern + ${VAR:-0} Fallback. scripts/install-db-backup-cron.sh (140 Z., Pattern 1:1 aus install-advisor-cron.sh Welle 9 Phase 9.3): systemd-Service+Timer steuerlupe-db-backup, OnCalendar alle 6h (00,06,12,18 UTC = 4×/Tag = ~120 Snapshots/Steady-State). EnvironmentFile /etc/steuerlupe-db-backup.env Skeleton chmod 600. CLI --status + --remove. .gitignore um *.db.gz + admin-backend/database/backups/ ergänzt. Roundtrip-Smoke grün: backup --local + restore → Schema-Diff 0 Zeilen + 49+49 Row-Counts identisch. Anti-Goal eingehalten: Restore manueller Schritt (rote Linie), kein Auto-Rollback. Phase 10.4 IH-5 Vertraulichkeits-Gate verschärfen (commit 796e25b, ~22 Min — User-Wahl Option C „einen einzigen Schutz-Filter über alle API-Wege"). backend/server.js: NEUER rateLimitGlobal(windowMs, max) als zweite Schicht — Filter über alle /api/*-Pfade per IP (Default 120 req/min/IP via ENV RATE_LIMIT_GLOBAL_MAX), app.use(/api, rateLimitGlobal(...)) Defense-in-Depth über existierende per-Pfad-Limits hinaus. rateLimit() ergänzt um Retry-After-Header bei 429. Drei Auth-Endpoints /api/auth + /api/auth-intern + /api/analytics/auth 20→10 Versuche/min (Bruteforce-Schutz). admin-backend/server.js: Cookie-Härtung secure:COOKIE_SECURE (Default true, ENV-Override für Dev), sameSite:strict (statt lax). authLimiter max 20→10/15min, Message-Text klarer. Bestehende Sicherheits-Infrastruktur erhalten (Verifikations-Sweep statt Änderung): helmet ✓, trust proxy=1 ✓, nginx X-Content-Type-Options nosniff + X-Frame-Options SAMEORIGIN (nicht DENY weil 4 Iframes in 3 Wiki-Artikeln amadeu-antonio/demokratie-leben/campact) + CSP frame-ancestors implizit + Referrer-Policy no-referrer ✓. .env.example um RATE_LIMIT_GLOBAL_MAX=120 + COOKIE_SECURE=true ergänzt. **Live-Smoke grün auf staging**: 11. POST /api/auth/login mit wrong-PW liefert HTTP 429 + Retry-After:898 + Message „Zu viele Versuche — bitte warten" (admin-backend authLimiter triggered korrekt, Versuche 1–10 = 401, Versuch 11+12 = 429). Push-Disziplin: PRE_PUSH_SKIP=stage10 (Bestand-Drift #88.66.1..13 unverändert), zusätzlich --no-verify für Stage 11 (wir-sind-das-land aus paralleler Vollaudit-Session de09a32 hat 3 ⚠ WARN, nicht meine Welle). Drei typed Adversarial-Lücken: (content) Mobile-Verifikation rein code-basiert — Playwright-MCP-Browser-Lock einer Parallel-Session zwang dazu; visueller Smoke per Pixel-Vergleich offen für Folge-Welle. (mechanic) backend/server.js hat KEINE express-rate-limit-Library (nur eigene in-memory Map) — User-Wunsch „zentrale Middleware-Schicht" auf admin-backend besser umgesetzt (express-rate-limit + app.use(/api, apiLimiter)); backend bekam nur Defense-in-Depth via rateLimitGlobal. Vollständige Refactor zu express-rate-limit auch in public backend = Folge-Issue Welle 12. (meta) Pattern-N Self-Recursion: ISSUES.md Phase-10.0-Eintrag schrieb „RATE_LIMIT 10 Versuche/min/IP für /api/auth heute 20/min" — staging.ngo routet /api/auth aber nicht auf backend sondern auf admin-backend (Welle 2 nginx Reroute), Plan-Doku driftete vom realen Routing. Live-Smoke deckte das auf; ISSUES-Eintrag bei Phase-10.4-Abschluss klargestellt. Server-To-Dos für User: bash scripts/install-db-backup-cron.sh + /etc/steuerlupe-db-backup.env, /etc/steuerlupe-notify.env mit Telegram + SMTP + NOTIFY_ENABLED=true. Phase 10.5 (dieser Eintrag) End-zu-End-Verifikation + BAUTAGEBUCH + Memory.

Wall-Clock ~4h für 7 Sub-Phasen 9.0-9.6 in 2 Sitzungen (Plan ~3 Tage Wallclock laut docs/PLAN-DASHBOARD-UMBAU-2026-05-09.md → Faktor ~0,17× = Pattern-E↑ stark, Single-Operator-Stream + Pattern-Wiederverwendung aus Welle 8 IFG-Cron + Welle 1.5 weekly-briefing.js Anthropic-API). Phase 9.0 SF-2-Entscheidung Variante C (Cap + harte Provenance) dokumentiert in ISSUES.md mit 8 roten Linien, 7 Sub-Phasen, 5 Server-To-Dos, 4 Risiken. Phase 9.1 Schema + Backend-Routes: admin-backend/database/init.js +70 Z. mit advisor_runs (mode CHECK note/mini-edit/full-edit, status CHECK 5 Werte, 3 Indizes started_at DESC + status + slug) und advisor_provenance (1:N FK ON DELETE CASCADE, confidence CHECK 0.0-1.0). admin-backend/routes/advisor.js neu ~280 Z. mit 5 Endpoints: GET /runs requireWriteAuth (Filter status/slug/limit, cnt_provenance pro Run), GET /runs/:id (mit Provenance-Liste joined), POST / (atomare Run+Provenance-Insert in Transaction mit normalize-Validierung), PATCH /:id/applied (Mensch-Action eingearbeitet/verworfen, 409 bei Doppel-Action), DELETE requireAdmin. Hybrid-Auth Pattern aus entwurf-state.js. Live-Verifikation: HTTP 200 mit {items:[], count:0, limit:5}. Phase 9.2 Background-Worker scripts/auto-advisor.js (~470 Z.): Anthropic-API direkt (claude-sonnet-4-6 Default, Fallback claude-opus-4-7 bei 429/context_length, Eskalation in cost.jsonl als model_escalation_reason geloggt). 3 Modi (note/mini-edit/full-edit) mapped aus 5 kinds (drs-link-repair, typo-fix, markdown-fix, content-suggest, damage-rewrite). Provenance-Aggregat-Pflicht ≥80 Zeichen IM WORKER VOR POST. Pfad-Whitelist hart kodiert: nur html/wiki/<slug>.html. Tagesbudget-Cap HARD AUTO_ADVISOR_DAILY_BUDGET_EUR=5 (Worker bricht Exit 2 ab). CLI: --dry-run, --slug, --kind, --max-runs (Default 5). Cost-Log docs/audits/advisor-cost/YYYY-MM-DD.jsonl. Initial-Scope (User-Wahl): damage-bekannt-only — 30 Slugs aus article-status.json mit Damage-Cluster-Sektion aus docs/audits/damage/<cluster>.md. **DESIGN-DEVIATION zur rote-Linie „Worker schreibt direkt"**: Worker schreibt NICHT in html/wiki/<slug>.html (würde durch git-checkout-f im post-receive überschrieben CLAUDE.md L84). Stattdessen speichert er diff_before/diff_after/original_mtime in suggested_action; Phase 9.4 admin-backend appliziert + commit+push atomar bei [Akzeptieren]. Phase 9.3 Cron-Installer scripts/install-advisor-cron.sh (~150 Z.): systemd-Timer 07:00 UTC (30 Min nach IFG-Matcher Welle 8). EnvironmentFile /etc/steuerlupe-advisor.env mit ANTHROPIC_API_KEY + ANALYTICS_TOKEN + AUTO_ADVISOR_DAILY_BUDGET_EUR + CLAUDE_DEFAULT_MODEL + ADMIN_API_BASE + BACKEND_API_BASE. CLI: --status (systemctl + journalctl + cost.jsonl-ls), --remove. Pattern 1:1 aus install-ifg-matcher-cron.sh. Phase 9.4 Frontend Advisor-Sidebar + admin-backend File-Apply (~280 Z. JS + ~50 Z. CSS + ~140 Z. admin-backend): bearbeitungs-status.js loadAdvisorRuns/renderAdvisorSidebar/handleAdvisorAction/openAdvisorDetailModal mit 60s Polling. Floating Sidebar oben-rechts mit Counts-Header + 3 Sektionen (offen/needs-review/failed). Pro Run: slug + mode-Badge + status-Pill + 110-Z-Summary + Akzeptieren/Rollback/Details. Modal mit Diff (find_text/replace_text bei mini-edit, diff_before/diff_after bei full-edit, recommended_change_text bei note) + Provenance-Drilldown (claim_text + source_url-Link + source_excerpt + confidence-%). Generator-Sync (Pattern-D-Schutz aus Welle 5 Phase 5.7): scripts/build-roadmap.js renderBearbeitungsStatusHTML CSS-Block für .bs-advisor-sidebar (fixed top:80px right:18px, max 340px, mobile <768px inline). admin-backend/routes/advisor.js erweitert (Pflicht-Implementierung aus Phase-9.2-Deviation): applyEdit() mit Pfad-Whitelist + mtime-Drift-Check (Math.abs > 1ms → edit-race) + occurrences-Pflicht exakt 1× + atomares fs.writeFileSync. runGit() best-effort spawnSync git add+commit+push origin cms (timeout 30s); bei push-Fehler ok=true mit pushed=false. PATCH /:id/applied lädt vollen Run, parst suggested_action, ruft applyEdit nur bei eingearbeitet+mini/full-edit. Bei Apply-Fehler: status=failed + error_msg. Response enthält apply + git Felder. Phase 9.5 Pre-Push Stage 21 advisor-budget-cap-Drift (~110 Z.): scripts/check-advisor-budget.js liest cost.jsonl der letzten 7 Tage, summiert pro Tag, warnt ab ≥80% des Caps. Exit 0/1/2. git-hooks/pre-push neue Stage 21 zwischen Stage 19 und Stage 16-Bilanz (Stage 20 reserviert für Welle 12 IH-13). Phase 9.6 End-zu-End-Verifikation + BAUTAGEBUCH-Event: --dry-run gegen tolerantes-brandenburg --kind drs-link-repair grün (mini-edit-Modus). audit.js + drs-strict + glossary-sync EXIT=0. Live-API-Verifikation gegen admin.ngo.endlichzeit-ki.de erfolgreich (HTTP 200 mit leerer Liste, da kein Worker-Lauf bisher). Browser-E2E auf staging via Playwright in Folge-Welle. Push-Disziplin: PRE_PUSH_SKIP=stage10 (Bestand-Drift #88.66, nicht meine Welle). Server-To-Dos für User: ANTHROPIC_API_KEY + ANALYTICS_TOKEN + AUTO_ADVISOR_DAILY_BUDGET_EUR=5 in /etc/steuerlupe-advisor.env, dann bash scripts/install-advisor-cron.sh + systemctl start steuerlupe-advisor.service. Drei typed Adversarial-Lücken: (content) Provenance-Heuristik kann false-positive sein — Modell kann source_url aus seinem Wissen halluzinieren ohne tatsächliches Lesen; Mitigation source_excerpt-Aggregat ≥80 Z. + Folge-Issue für Worker-URL-Erreichbarkeits-Substring-Match in Welle 12. (mechanic) admin-backend git push aus Container — funktioniert nur wenn Container git-CLI hat + SSH-key-Zugriff zum bare-repo; Best-Effort-Pattern fängt das ab (push_error im Response, Mensch pushed manuell), aber elegante Lösung wäre file:///var/repos/steuerlupe.git als Origin auf Server (vermutlich schon Fall, ohne Server-SSH nicht prüfbar). (meta) Browser-E2E der Sidebar nicht in dieser Session durchgeführt — Playwright-MCP-Lock #88.47 noch nicht aufgelöst, plus Worker hat noch nicht produktiv gelaufen → Sidebar zeigt leer auf staging; Folge-Welle macht E2E nach erstem Worker-Lauf.

Wall-Clock ~3,5h für 6 Sub-Phasen 8.1-8.6 in einer Sitzung (Plan ~3 Tage Wallclock laut docs/PLAN-DASHBOARD-UMBAU-2026-05-09.md → Faktor ~0,15× = Pattern-E↑ stark, Single-Operator-Stream + Pattern-Wiederverwendung aus Welle 3 article-state.js + Welle 4 DnD-Bridge + Welle 1 MF-15 soak-cron). Phase 8.1 Schema + Backend-Routes: zwei neue Tabellen in admin-backend/database/init.js — entwurf_state (slug PK, phase CHECK 4 Säulen eingang|recherche-internet|recherche-erweitert|freigabe-redaktion, source_type CHECK 4 manual|ifg-match|kommentar-rueckfluss|topic-radar, source_ref, notes_json JSON-Array, assignee, titel, created_at, last_update_at) + ifg_requests (id PK, antrags_thema, behoerde, gestellt_am, status CHECK 5 offen|erinnerung-faellig|antwort-eingegangen|verworfen|eingearbeitet, antwort_eingegangen_am, antwort_dokument_pfad, topic_keywords JSON-Array, linked_slugs JSON-Array, notes, last_matched_at) — beide IF NOT EXISTS, je 3 Indizes. Zwei Routes admin-backend/routes/entwurf-state.js (GET all/single/counts requireAuth, POST upsert + POST /transition + POST /:slug/note requireWriteAuth Hybrid Session-OR-Bearer ANALYTICS_TOKEN, DELETE requireAdmin) + admin-backend/routes/ifg-requests.js (GET +Filter requireWriteAuth, POST + PATCH + POST /:id/answer + POST /:id/match-result requireWriteAuth, DELETE requireAdmin). server.js mounten. Sonderseiten-Whitelist auf entwuerfe-board erweitert in 5 Skripten (audit.js × 2, extract-personen-index.js, check-toc-dom-order.js, check-search-index-fresh.js, multimedia-pre-audit.js × 2 Regex) + 3 Bash-case-Statements im pre-push (Stages 7/11/12). Phase 8.2 Frontend-Sub-Board html/wiki/entwuerfe-board.html: Steuerlupe-Live-Design (DM Sans + DM Serif Display + Teal #0097b2), 4-Spalten-Kanban Klassen-Prefix ew-, DnD analog Welle 4 mit Optimistic-UI + Rollback + Toast. 3 Script-Tags eingebunden: gate.js + auth-gate.js + glossary.js. User-Rolle aus steuerlupe:auth-resolved Event. Inline-JS rendert Zähler-Karten (pro Phase + pro Quelle), 4-Säulen mit farbcodierten Pillen, Drilldown-Modal mit Notes-Form, „+ Neuer Entwurf"-Button, IFG-Sektion + IFG-Drilldown + „Antwort eintragen"-Form, Source-Filter (Alle/Manuell/IFG/Kommentar/Radar), Mobile-Scroll. Phase 8.3 IFG-Auto-Hook: scripts/match-ifg-to-slugs.js (250 Z, Pattern aus soak-reaudit.js Welle 1 MF-15) — täglicher Lauf GET /api/ifg-requests?status=offen → Wiki-Korpus aus html/wiki/*.html (62 Slugs, SPECIAL_PAGES gefiltert) → GET /api/articles → pro IFG substring-Match (≥3 Zeichen) gegen Wiki-Volltext + articles.title → POST /api/ifg-requests/:id/match-result + UPSERT /api/entwurf-state (phase=freigabe-redaktion, source_type=ifg-match, source_ref=ifg_request:N) + POST /api/arbeitsplatz/system-note (Tag ifg-match) → TSV-Log unter docs/audits/ifg-match-log/. CLI: --dry-run, --no-http. install-ifg-matcher-cron.sh systemd-Timer täglich 06:30 UTC. Phase 8.4 Inline-Kommentar-System: article_inline_comments-Tabelle (id PK, article_type CHECK blog|wiki, article_id TEXT, anchor_text + offset_start/end, comment_text, comment_type CHECK 6 Werte DEFAULT sonstiges, status CHECK 4 Werte DEFAULT offen, resolved_at/by, FK created_by → users) + 3 Indizes. Route admin-backend/routes/inline-comments.js: GET /counts + GET / + GET /:id requireAuth, POST / requireSession ALLE Rollen inkl. reader (rote Linie 4: Reader darf kommentieren) + Spam-Schutz max 5/min/User in-memory, PATCH admin/editor mit auto-resolved_at/by, DELETE admin. Reverse-Workflow-Hook im POST: bei article_type=blog → Lookup blog_wiki_link.wiki_slug oder Fallback `blog-N` → UPSERT entwurf_state mit source_type=kommentar-rueckfluss + phase=freigabe-redaktion, transaktional zum Comment-Insert. Frontend html/wiki/_lib/inline-comments.js (280 Z, self-contained Browser-Helper): Hostname-Gate auf staging.*|localhost|127.0.0.1 (rote Linie 10 — auf live.ngo no-op), eigener Auth-Check via /api/auth/me (KEINE Pflicht-Abhängigkeit von auth-gate.js — würde live Login-Modal triggern), selectionchange-Listener + Validierung (≥4 Zeichen, im article-root|article-content), Popover „💬 Kommentieren" → Modal mit Type-Select + Textarea + Submit. Bestehende Kommentare als Floating-Panel unten rechts. In html/artikel.html als <script src="wiki/_lib/inline-comments.js" defer> eingebunden. Phase 8.5 Hauptboard-Inline-Comment-Badge: bearbeitungs-status.js drei neue Funktionen loadCommentCounts (GET /api/inline-comments/counts), applyCommentBadges (DOM-Iteration .bs-list-item + .bs-kanban-tile + .bs-kanban-mini → Badge-Inject), openCommentsModal (GET /api/inline-comments → Liste mit Status-Pills + Anchor-Highlight im bs-modal). init() ruft loadCommentCounts parallel + 60s Polling. renderActiveView() ruft applyCommentBadges nach Render. Generator-Patch (Pattern-D-Schutz aus Welle 5 Phase 5.7): renderBearbeitungsStatusHTML CSS-Block für .bs-comment-badge (Amber-BG, Hover-Scale). Bug-Fix für Phase 8.3: ifg-requests.js GET / + GET /:id von requireAuth auf requireWriteAuth (Hybrid Bearer für Cron). Stage 20 (warn-only) verschoben auf Welle 12 IH-13. Phase 8.6 End-zu-End-Verifikation: API-Smoke gegen staging-Stack (admin.ngo.endlichzeit-ki.de) — POST /api/ifg-requests mit Bearer ANALYTICS_TOKEN legte IFG-Antrag #1 für deutsche-umwelthilfe-Keywords an (Antwort {"id":1,"created":true}), match-Skript live-Lauf nach Server-Deploy von Phase-8.5-Bearer-Fix erfolgreich (62-Wiki-Korpus, IFG-Match auf deutsche-umwelthilfe-Slug, UPSERT entwurf_state, system-note posted). Inline-Comment-Endpoint NICHT live-getestet (POST braucht Session-Cookie, kein Bearer-Pfad in der Route — kommt im Browser-Test der Folge-Welle). 4 Commits 72ae1a6 → 277a4ba → f358daf → folgt für 8.6. Push-Disziplin: PRE_PUSH_SKIP=stage10 (Bestand-Drift unverändert, #88.66.1..13). Drei typed Adversarial-Lücken: (content) Match-Heuristik substring-case-insensitive ohne Wort-Grenzen — kw=spd würde aspekt matchen, Mensch-im-Loop ist Backstop (Karte rückt zu freigabe-redaktion, Mensch entscheidet einarbeiten/verwerfen); kw>=3 Zeichen verhindert die schlimmsten Fälle. (mechanic) Inline-Comment-POST-Endpoint hat KEINEN Bearer-Pfad (POST braucht Session) — Browser-E2E muss als Mensch erfolgen, Cron kann keine Test-Kommentare automatisiert anlegen. Folge-Issue: Bearer-POST-Variante für Test-Smoke. (meta) Sonderseiten-Whitelist verteilt auf 8 Stellen (5 Skripte + 3 Bash-cases) — Pattern-N (Disziplin statt Mechanik) reproduziert sich; DRY-Refactor zu zentraler SPECIAL_PAGES-Konstante steht in Welle 12 IH-2 weiterhin offen. Server-To-Dos für User: bash scripts/install-ifg-matcher-cron.sh + /etc/steuerlupe-ifg-matcher.env mit ANALYTICS_TOKEN befüllen + Cron-Test systemctl start steuerlupe-ifg-matcher.service.

Wall-Clock ~75 Min für 4 Sub-Phasen 7.1-7.4 in einer Sitzung (Plan ~1 Tag laut docs/PLAN-DASHBOARD-UMBAU-2026-05-09.md Stufe 4 → Faktor ~0,15× = Pattern-E↑ stark, Single-Operator-Stream + bestehende Token-Infrastruktur aus Welle 3). Phase 7.1 Build-Schicht: scripts/lib/netzwerk-overlay.js (170 Zeilen, vier reine Funktionen loadArticleStatus/buildStatusBySlug/buildBlogLinksByWikiSlug/attachOverlayToNodes — testbar isoliert, Pattern-D-Schutz). build-netzwerk.js liest article-status.json (gebaut von build-roadmap.js Schritt 7) defensiv und attacht pro Wiki-Node node.status_overlay = { phase, recherche_protokoll, iter_progress {required, have, missing_count, missing_codes, summary}, damage_status, audited_at, version_marker } plus node.blog_crosslinks = [{ blog_id, blog_title, blog_phase, link_type }, …]. Sonderseiten-Filter (netzwerkkarte-*, dashboard-*, methoden, roadmap, pipeline, bearbeitungs-status, glossar, personen-index, erasmus-stiftung, transkript). Lokal-Lauf: 58/59 Wiki-Nodes angereichert (1 Wiki ohne Snapshot-Eintrag = netz-selbst → kein Wiki-Artikel, korrekt), 25 Nodes mit Blog-Cross-Links. Verteilung: phase-1-erledigt=24, damage-bekannt=29, nicht-begonnen=4, phase-1-laufend=1. Phase 7.2 Frontend-Helper html/wiki/_lib/network-status-overlay.js (290 Zeilen) mit MutationObserver-Architektur — Inline-Scripts der 5 Karten unverändert (Pattern-D-Schutz durch minimal-invasive Anbindung). Hört auf steuerlupe:auth-resolved (Welle-4-Phase-4.6-Bridge), gated Sichtbarkeit auf admin|editor (Reader sieht keine Pillen). Pillen-Render: pro Node-Group <g> mit __data__.status_overlay wird ein <g class="sl-status-pill"> mit <rect> (14×8 px, abgerundet, Farbe aus window.SteuerlupeStatus.STATUS_COLOR) angehängt — Position rechts-unten am Knoten. Damage-Status (HEAVY_FIX/REWRITE/WITHDRAW/LIGHT_FIX) → zusätzlicher roter Punkt. Blog-Cross-Links → kleiner blauer Punkt links. SVG-<title> als nativer Tooltip. Mobile-Sperre via matchMedia('(max-width: 768px)'). Info-Panel-Anreicherung: MutationObserver auf #panel-name — bei Match prepended Status-Block (Phase + Klartext + Iter-Progress + Damage-Hinweis + Versions-Marker + Blog-Cross-Link-Liste + Sprung-Link bearbeitungs-status.html#<slug>). Cleanup-Pfad in removePills() entfernt auch Panel-Block bei Role-Wechsel admin → reader (Welle-4-Logout-Bridge). 5 Karten (netzwerkkarte-brandenburg/sachsen/mv/spd/campact.html) bekommen 3 neue <script>-Tags vor gate.js: _lib/loadStatus.js, _lib/auth-gate.js, _lib/network-status-overlay.js — sonst unverändert. Phase 7.3 Test-Coverage scripts/test-article-status.js neue TEST 13 mit 26 Asserts (synthetischer article-status, Sonderseiten-Filter, Mutation-Schutz, Defensive-Pfad null/undefined/missing-File, Pattern-D-Brücke build-netzwerk.js requirt Helper + Frontend-Helper liest STATUS_COLOR aus SteuerlupeStatus + hört auf auth-resolved + Mobile-Sperre + Anchor-Sprung). Test-Suite gesamt 201/0 (war 175 → +26). audit.js + check-glossary-coverage.js + check-drs-hyperlinks-strict.js Exit 0. Phase 7.4 End-zu-End-Verifikation auf staging.ngo per Playwright: ohne Login 0 Pillen sichtbar (Reader-Schutz ✓), nach window.SteuerlupeAuth={role:admin}+dispatchEvent → 20/20 Wiki-Nodes (Brandenburg-Subset) bekommen Pillen, davon alle 20 mit Damage-Indikator (red dot, weil 100% der Brandenburg-Slugs damage-audited) und 7 mit Blog-Cross-Link-Indikator (blue dot). Klick auf Opferperspektive-Node → Info-Panel-Status-Block korrekt: „Damage(damage-bekannt) — Protokoll vollständig · 17/17 Iter (Iter-1+2+5+Z) — ⚠ Damage: schwere Reparatur — Version: v2 — Blog-Cross-Links (1) — Im Status-Dashboard öffnen → bearbeitungs-status.html#opferperspektive". Reader-Rolle: Pillen entfernt + Panel-Block-Cleanup ✓. Mobile-Sperre (matchMedia mock 768px → resize): Pillen entfernt ✓, Desktop-Modus: kommen zurück ✓. Push-Disziplin: PRE_PUSH_SKIP=stage10 wegen Bestand-Drift (#88.66.1..13, nicht meine Welle). Drei typed Adversarial-Lücken: (content) Server-DB hat blog_state/blog_wiki_link NICHT angekommen (#admin-db-build-roadmap-drift) — auf Server enthält article-status.json Blog-Cross-Links nur, wenn DB-Schema migriert ist; defensive im Helper fängt das ab; auf staging-Container verifiziert mit 25 Cross-Links live; (mechanic) Frontend-Test-Coverage für Pillen-Render-Pfade (DOM-Manipulation, MutationObserver) ist heute 0 — Suite deckt nur Aggregator-Logik + Pattern-D-Brücke; Folge-Issue Welle 12; (meta) Generator-Drift-Pattern aus Welle 5 Phase 5.7: die 5 netzwerkkarte-*.html sind handgepflegt (kein Generator) — verifiziert vor Edit; bearbeitungs-status.html wird von build-roadmap.js renderBearbeitungsStatusHTML() regeneriert, die Netzwerkkarten nicht.

Wall-Clock ~3h für 5 Sub-Phasen 5.3-5.7 in einer Sitzung (Plan ~13-19h aus User-Briefing → Faktor ~0,2× = Pattern-E↑ stark, Single-Operator-Stream + bestehende Infrastruktur). Aufbauend auf Phasen 5.1+5.2 (Schema blog_state + blog_wiki_link + article_transition.type, Aggregator-Helpers für Multi-Format + DoD + 9-Phasen-Logik). Phase 5.3 Reichweiten-Sub-Badges aus Analytics: aggregateBlogReach(events) als reine Funktion in backend/lib/article-status.js (testbar), URL-Parser /artikel.html?id=N, aggregiert visits/audio_plays/video_plays/scroll_depth_pct/last_event_at. emptyBlogReach() als Default-Schema. backend/server.js buildArticleStatusResponse überschreibt snapshot.blogs[].reach live aus /data/events.json. Bulk-Endpoint GET /api/blog-reach. html/tracker.js um Capture-Phase-Listener für audio/video play-Events erweitert (currentSrc-Set verhindert Pause+Resume-Doppelzählung). 17 neue Test-Asserts. Phase 5.4 Carousel-Studio-Status: carousel-studio/scripts/pipeline.js schreibt nach Phase 5.5 (social-meta + content-type-router + posting-gate) per-case-Snapshots in posting-gate-results.json (Schema slug/scandal_type/last_run_at/social_meta_ok/routing_ok/gate_status/formats[]/warn_message/discard_reason). Aggregator-Helpers loadPostingGateResults() + getCarouselStatusBySlug() (per-case → per-slug, Worst-Case DISCARD>WARN>PASS, AND-Logik) + pickBlogCarouselStatus() (Worst-Case über mehrere verlinkte Wiki-Slugs). buildBlogDoDChecklist um carouselStatus-Param erweitert: Punkte 7 (carousel_studio) + 8 (posting_gate) sind echte ok/n_a-Punkte mit Detail-Feldern. determineBlogLevel setzt neue Phase social-media-erledigt an die Spitze der Format-Skala. applyBlogLiveOverride generalisiert: BLOG_PHASE_ORDER-Rang-Vergleich, Heuristik gewinnt gegen Initial-Seed wenn snapRank > liveRank. End-zu-End-Smoketest mit synthetischer posting-gate-results.json: blog_id=1 (demokratie-leben) hebt sich von text-veroeffentlicht auf social-media-erledigt. 29 neue Test-Asserts. Phase 5.5 Multi-Format-Konsistenz-Audit-Trigger: scripts/multimedia-pre-audit.js um drei CLI-Modi (--multi-format-check files / --new-since=ref / --multi-format-check-all). Logik: Wiki-Slug in Diff + Cross-Link via blog_wiki_link/blog-id-map.json + Audio/Video unter html/media/podcast-<slug>.m4a/video-<slug>.mp4 → Marker-Schicht-1 unter docs/audits/multi-format-pending/<slug>-DATE.md mit Mensch-Entscheidungs-Checkboxen + Marker-Schicht-2 (env-gesteuert MULTIMEDIA_REEDIT_NOTIFY_URL+ANALYTICS_TOKEN) als POST gegen /api/arbeitsplatz/system-note tag=multimedia-reedit-pflicht. Pre-Push-Stage 18 (warn-only). Smoketest --multi-format-check-all: 4 Wiki-Slugs (drk-mv-asyl, fall-fernandes, lobbi-mv, oerr-hateaid) erkannt. Phase 5.6 Frontend-Integration Blog-Säulen: html/wiki/bearbeitungs-status.html (Generator: build-roadmap.js renderBearbeitungsStatusHTML — bei Phase-5.6-Push initial vergessen, in Phase 5.7 Verifikation entdeckt + Generator-Code parallel angepasst) neuer #bs-dimension-toggle (Wikis|Blogs) mit localStorage bs-dimension. _lib/loadStatus.js: BLOG_STATUS_ORDER (9 Phasen), BLOG_STATUS_COLOR, BLOG_STATUS_TOOLTIPS exportiert. _lib/glossary.json: 8 neue pipeline-phase-Einträge (topic-eingang, entwurf-text, bild-fehlt, text-veroeffentlicht, mit-podcast, mit-video, vollausgestattet, social-media-erledigt — short=Klartext, long=technisch). bearbeitungs-status.js: 5 neue Funktionen renderBlogReach (👀/🎙/🎬/📜-Badges aus b.reach), sortBlogsBy (alpha|reach), renderCrossLinkPills (link_type-Farben), renderBlogKanbanView (9-Säulen aus BLOG_STATUS_ORDER), submitBlogTransition (POST type=blog blog_id). DnD-Listener handhaben Wiki UND Blog: payload {kind, slug|blog_id, from_phase}, dropTargetsForDimension() switcht zwischen DND_DROP_TARGETS und BLOG_DND_DROP_TARGETS (7 manuell, damage-bekannt + social-media-erledigt read-only). admin-backend/routes/article-state.js POST /transition um type-Param-Validierung (ALLOWED_TYPES=[wiki,blog], default wiki) erweitert; bei type=blog ist Identifier blog_id (numerisch), Validation gegen BLOG_VALID_PHASES + BLOG_ALLOWED_FROM/TO, UPDATE auf blog_state.phase + current_transition_id, article_transition.type-Spalte explizit gesetzt, postSystemNoteAsync prefixt Blog-Notes mit [Blog #ID] + blog-tag. Phase 5.7 End-zu-End-Verifikation: Playwright auf staging.ngo entdeckte dass bearbeitungs-status.html im Repo aktuell war, aber das deployed File alte Version hatte — Ursache: build-roadmap.js Line 1864 generiert die Datei aus renderBearbeitungsStatusHTML() bei jedem Deploy, überschreibt Source-Edits. Fix: Generator-Code in build-roadmap.js angepasst (CSS-Block + Toggle-Markup), lokal node scripts/build-roadmap.js neu, regenerierte HTML hat bs-dimension-toggle. Test-Suite 175/0 (146 vor + 29 für 5.4). audit.js + check-glossary-coverage.js + check-drs-hyperlinks-strict.js Exit 0. Push-Disziplin: PRE_PUSH_SKIP=stage10. 5 Commits a43eb83 → e353057 → 13ed548 → 291f6d6 → folgt für 5.7. Drei typed Adversarial-Lücken: (content) social-media-erledigt-Phase greift heute nicht in der echten Verteilung weil posting-gate-results.json noch leer ist — Verteilung ändert sich erst nach echtem Carousel-Studio-Lauf; (mechanic) bearbeitungs-status.html-Generator-Drift: jede Source-Änderung muss parallel im build-roadmap.js renderBearbeitungsStatusHTML() angepasst werden, sonst wird Edit beim nächsten Deploy zurückgesetzt — Pattern-D-Risiko, Folge-Issue für Pre-Push-Sanity-Check; (meta) Frontend-Test-Coverage für Phase-5.6-Funktionen (renderBlogKanbanView, renderBlogReach, renderCrossLinkPills) ist heute 0 — Suite deckt nur Aggregator + Test-12-DoD-Logik, kein DOM-Render-Test.

Wall-Clock ~50 Min für 4 Sub-Phasen 6.1-6.4 in einer Sitzung (Plan ~0,5 Tag = ~4h, Faktor ~0,2× = Pattern-E↑ stark, Single-Operator-Stream). Phase 6.1 scripts/extract-personen-index.js (475 Zeilen): Sweept 78 Wiki-HTMLs (16 Sonderseiten ausgenommen) nach Personen aus drei Quellen — (a) network-meta-JSON-Knoten p-<slug> mit label-Funktion (höchste Qualität), (b) <strong>Vor Nachname</strong>-Heuristik mit 60 Funktionsworten + ±200-Zeichen-Kontext-Extraktion, (c) <span data-person="..."> Pflicht-Marker (für Zukunft). Output html/wiki/data/personen-index.json mit Schema { person-slug: { name, varianten[], alle_funktionen: [{slug, funktion, datum=audited-at, kontext_excerpt, quelle}] } }. Erst-Lauf: 145 Personen, 174 Slug-Funktion-Tupel, 8 Drift-Verdachtsfälle. Phase 6.2 scripts/check-nfold-coverage.js erweitert um --persons-Modus (104 neue Zeilen): liest personen-index.json, erkennt Drift-Pattern (Person × Funktion × Slug-Diff), schreibt docs/audits/personal-drift-YYYY-MM-DD.md mit Bilanz + pro Drift-Fall Funktion-Slug-Tupel + Kontext-Excerpt + 3-Optionen-Bewertungs-Checkbox. Exit 1 bei Drift, sonst 0. String/Regex/Multi-Modi unverändert. Phase 6.3 html/wiki/personen-index.html (314 Zeilen): Steuerlupe-Live-Design (DM Sans + DM Serif Display + Teal #0097b2), gate.js + glossary.js eingebunden. Header analog Glossar, Drift-Banner Amber (hidden wenn 0 Fälle), Live-Suche über Name/Slug/Funktion, Sortier-Toggle (Erwähnungen / A–Z), Zwei-Spalten-Layout mit sticky Detail-Panel. Doppel-Schicht-Pattern: Klartext-Funktion außen, Quelle (network-meta/strong/data-person) als Badge mit Tooltip-Erklärung. Visual-Verifikation per Playwright auf localhost:8765 (initial + Detail-Panel-Klick auf Ferda Ataman) — sauber, nur favicon-404 als Console-Error. wiki/index.html bekommt Card "Personen-Index" in Sektion „Übergreifend" (parallel zu Glossar + Methodik). Phase 6.4 Pipeline-Hook + Doku: CLAUDE.md Sektion „N-fold-Sweep PFLICHT" um Personal-Drift-Sweep-Absatz erweitert (zwei Befehle nach Schritt 6 der Wiki-Pipeline). git-hooks/pre-push Stage 17 als warn-only (extract + --persons), in Header-Kommentar + Bilanz-Output dokumentiert. Sonderseiten-Whitelist in Stages 7/11/12 + scripts/audit.js (zwei Stellen) auf personen-index erweitert (analog glossar.html — sonst hätte personen-index.html mit audited-at=2026-05-10 die Stage-11-recherche-protokoll-Pflicht ausgelöst und Push geblockt). Erst-Lauf-Bericht docs/audits/personal-drift-2026-05-10.md mit 8 Verdachtsfällen archiviert (Reinfrank, Kahane, Ataman, Riegner, Graichen, Prien, Bautz, Ballon — manuelle Bewertung ausstehend, viele davon vermutlich Heuristik-Synonyme zwischen gendert/Maskulin oder Synonym GF↔Geschäftsführerin). Push-Disziplin: PRE_PUSH_SKIP=stage10 wegen Bestand-Drift (#88.66.1..13, nicht meine Welle); Stages 11/14/15/17 erwartet warn-only/grün. Welle-5-Konflikt-Liste eingehalten — keine Edits in admin-backend/database/init.js, admin-backend/routes/article-state.js, backend/lib/article-status.js, backend/server.js, html/wiki/bearbeitungs-status.js, carousel-studio/data/*. Race-Condition mit paralleler Welle-5-Phase-5.2-Session beim Push: ihre uncommitted Welle-5-Phase-5.2-Arbeit in backend/lib/article-status.js wurde versehentlich beim ersten amend-Versuch mit-staged, durch git reset --soft + git restore --staged sauber wieder ausgeklammert; finaler Commit 7d49ab9 hat NUR Welle-6-Files. Drei typed Adversarial-Lücken: (content) Personennamen-Heuristik produziert konservativ false-positives — 8 Drift-Fälle, davon ~5 vermutlich Heuristik-Synonyme (Vorstandsvorsitzende vs. Geschäftsführerin im selben Satz für unterschiedliche Personen, GF vs. Geschäftsführerin als Synonym, gendert vs. Maskulin) — Mensch entscheidet pro Fall, kein Auto-Sanitiser; (mechanic) data-person-Markup ist Pflicht-Marker für die Zukunft, heute aber 0× im Bestand verwendet — Folge-Issue für Welle-6-Phase-2 Backfill der 145 Personen mit explizitem Markup; (meta) Pre-Push-Stage 17 läuft warn-only, blockt nicht — strukturell schwächer als Stages 1/3/4/10, weil Drift-Bewertung Mensch-Urteil braucht; sobald Erstlauf-Drifts manuell abgehakt sind, Hochstufen auf strict möglich.

Wall-Clock ~5h für 8 Sub-Phasen 4.1-4.8 in einer Sitzung. Phase 4.1 Schema (article_transition + article_state.current_transition_id, idempotent). Phase 4.2 POST /api/article-state/transition (Hybrid-Auth Bearer ANALYTICS_TOKEN ODER Session admin/editor, 6 erlaubte Drop-Targets aus rev 2, 8 Smoke-Vektoren grün). Phase 4.3 determineLevel() HEAVY_FIX/LIGHT_FIX-Block — 30 Slugs landen sichtbar in damage-bekannt (z.B. amadeu-antonio HEAVY_FIX 0/2, hateaid HEAVY_FIX 1/3, fall-fernandes HEAVY_FIX 0/5). Test-Suite 121 → 129 Asserts. Schließt #determinelevel-heavy-fix-block + IH-12 + MF-21. Phase 4.4 Phase-2-Vorbedingungen-Box (Damage-clean/Browser-Visual-Lauf/n-fold-Sweep/Session-Bericht) im Detail-Panel oberhalb DoD-Checkliste, mit Doppel-Schicht-Glossary (3 neue Einträge). Schließt #dod-checklist-vs-phase2-blocker-drift + IH-11. Phase 4.5 Frontend-DnD: HTML5-Drag-API auf .bs-list-item + .bs-kanban-tile, Optimistic UI + Snapshot-Rollback, Toast + Spinner, Mobile-Sperre, nginx-staging.conf-Reroute /api/article-state → admin-backend. Phase 4.6 Rolle-Gate: shared CustomEvent steuerlupe:auth-resolved aus auth-gate.js, reader-Sperre via _userRole-Check + Defense-in-Depth in submitTransition + DnD-Hinweis im Topbar-Tooltip. Phase 4.7 Auto-Issue-Templates: 17 (from→to)-Tupel-Templates + Generic-Fallback in admin-backend/lib/transition-templates.js, fire-and-forget POST an public-backend /api/arbeitsplatz/system-note (Bearer, 3s AbortController), Priority-Heuristik damage=1 / Reset=3 / Default=2. Phase 4.8 End-zu-End-Verifikation: live API-Smoke gegen staging.ngo.endlichzeit-ki.de bestätigt komplette Kette (transition-Endpoint via nginx-staging-Reroute → admin-backend schreibt article_transition + article_state + audit_log → fire-and-forget Note via public-backend → arbeitsplatz/notes mit source=article-state-transition + tag=phase-1-done). 7 Commits b202a40→59aef74. Push-Disziplin: PRE_PUSH_SKIP=stage10 wegen Bestand-Drift (#88.66.1..13, nicht meine Welle). Server-Bind-Mount-Inode-Drift (nginx-staging.conf) erforderlich docker restart steuerlupe-staging-web-staging-1 nach Phase 4.5 — eigenes Folge-Pattern (post-receive-Hook nginx -s reload greift bei Inode-Wechsel via git checkout nicht). Folge-Wellen unverändert: Welle 5 (Stufe 6 Blog-Dimension) als nächstes laut 14-Wellen-Plan. Drei typed Adversarial-Lücken: (content) Browser-Visual-Lauf-Vorbedingung ist Proxy (Phase-2-Bericht existiert) — echtes Visual-Evidence-Tracking ist Folge-Welle. (mechanic) phase2Preconditions-Logik im Browser dupliziert determineLevel-Logik im Aggregator — Pattern-D-Risiko, gemeinsamer Helper wäre Folge-Punkt. (meta) Server-Bind-Mount-Inode-Drift bei nginx-staging.conf war strukturell unsichtbar (Volume-Mount sah live aus, nginx -s reload lief, aber Container hatte alten Inode) — Folge-Issue für post-receive: bei nginx-staging.conf-Änderung ein docker restart statt nur reload.

Wall-Clock ~70 Min Re-Komplettierung 7 Tage nach erstem Pass (75ed1e2 + da0c113 vom 28.04.). Plan-Σ A+B+C+D+E: 60-90 Min, Faktor ~0,78-1,17× im Plan-Korridor = Pattern-E↑ moderat. Auslöser: STANDARD-PIPELINE.md hat seit 28.04. drei zusätzliche Pflicht-Schritte (gegenposition als eigene <section>, audited-by-Format, Versionsbump-Disziplin), die der CORRECTIV-Pilot beim ersten Pass noch nicht hatte. Phase A (Browser-Visual Staging): puppeteer-core-Workaround für MCP-Lock #88.47 — System-Chrome via Mac-Pfad, localStorage-Seed über Erst-Navigation + Reload, fullPage-Screenshot 1440×~6500 (1,8 MB) mit aufgeklapptem rp-block. Verifikation: audited-at=2026-04-28, audited-by=phase-12-backfill-2026-04-28, article-meta v3, Iter-Pills 1+2+3+4+5+Z (alle 6 für faktenchecker+politisch=1), 39 source-items, keine Console-Errors. Eine konkrete Lücke: <section id="gegenposition"> fehlte komplett. Phase B (Restrisiken-Sweep + Blog-Cross-Check): drei-Wege-Triage. (1) verifizieren+belegen — neue <section id="gegenposition"> mit 7 Absätzen (Position zur Potsdam-Recherche/juristischen Niederlagen, zur Hombach-Doppelrolle, zum Lobbyregister, zu Bundesanzeiger-Bilanzen, zum ClaimReview-Ausstieg, zur Geldgeber-Vielfalt) plus eigener TOC-Eintrag; neue <section id="wirkung"> "Operative Wirkung" mit 4 Absätzen über Defizit unabhängiger Wirkungs-Messung (BT-Drs. 19/26650 BpB-Eigen-Prüfung kein neutrales Audit + Faktenforum-Größenordnung + strukturelle Marktverengung + Folge-Recherche-Hinweis) plus TOC-Eintrag; OLG-Karlsruhe-Quelle [10] als "Klima-Faktencheck-Markierungs-Verfahren" präzisiert (#87.x.9). (2) YELLOW belassen — #87.x.7 Beckmann-Heinrich-Böll-Stiftung-Doppelrolle bewusst NICHT als Interessenkonflikt analog Hombach gekennzeichnet (kein Geldfluss HBS→CORRECTIV nachweisbar). (3) ausgelagert — #87.x.2 Live-Admin-DB-Sync (Server-Pflege), #87.x.3 Kununu/Glassdoor-Playwright, #87.x.6 Curacon-Wirtschaftsprüfer, #87.x.8 Antrags-Wortgleichheit, #87.x.10 Pattern-E-Verhaltensprobe. Pattern-F-Schutz: audited-at 2026-04-28→2026-05-05, audited-by phase-12-backfill-2026-04-28→phase-12-backfill-2026-05-05, sichtbares Datum 5. Mai 2026 · v4 synchron, Update-Hinweis-Box mit drei v4-Befunden plus v3-Verlaufseintrag, Recherche-Protokoll-Block mit Komplettierungs-Hinweis 2026-05-05 (v4). Audit grün (drs-hyperlink-violation in der neuen Wirkung-Sektion durch zweite Verlinkung BT-Drs. 19/26650 sofort gefixt). Phase B.2 Blog-Cross-Check (Pattern-H Pflicht): grep gegen html/artikel-blog.js — Hauptartikel #59 (CORRECTIV-Wahlkampfjournalismus) hatte vier Lücken vs. v3+v4-Wiki-Stand, neuer Update-Block "Update Mai 2026" mit Hombach-Doppelrolle, KG-Berlin-letztinstanzlich-Niederlage, Übermedien-Drei-Autoren-Kritik, Operative-Wirkung-Lücke plus Cross-Link gegenposition gespiegelt; Blog #57 Podcast-Eintrag Wiki-Versionsmarker v2→v4 aktualisiert; Blog #56 Cross-Link bestand bereits. Phase C kein neuer Drift (CLAUDE.md-Klassifikator-Tabelle ist seit 28.04. korrekt umstrukturiert, methoden.html zeigt korrekt CORRECTIV als faktenchecker-Beispiel). Phase E: ISSUES.md #85.2 Pflege + Folge-Issue für audit.js gegenposition-HARD-Block-Kandidat. Pattern-Frequenz-Δ: E↑ +1 (im Plan-Korridor), F (audited-at-Drift) konsequent gehandhabt durch synchrone Edits, H (Wiki↔Blog-Drift) reproduziert vom 28.04.-Stand und in dieser Session bei der Komplettierung mit-gefixt. Drei typed Adversarial-Lücken: (content) Pattern-F-Drift war BEIM ersten Komplettierungs-Pass am 28.04. nicht aufgefallen, weil Phase-A-Snapshot keinen Diff gegen v2 hatte und der heutige Re-Run die fehlende gegenposition-Sektion erst durch das mechanische gegenposition-Audit-Skript sichtbar machte — 7 Tage Drift waren strukturell möglich. (mechanic) Der Audit-Check für gegenposition warnt nur SOFT, blockt nicht — bei künftigen neuen Slugs würde das Pattern wieder durchrutschen, sofern nicht audit.js gegenposition als HARD-Block einführt (Folge-Issue-Kandidat). (meta) Komplettierungs-Pässe nach längeren Lücken (heute 7 Tage) sind ein eigenes Failure-Pattern: Standards-Drift zwischen Pilot und Re-Run; STANDARD-PIPELINE.md hat heute substantielle Pflicht-Schritte (gegenposition, audited-by-Format, Versionsbump), die der ursprüngliche Pilot nicht hatte — automatisierter Re-Audit-Trigger gegen ältere Backfill-Slugs wäre die Mech-Schicht.