Integritaetsstatus des Audit-Protokolls in der Oberflaeche

Der Zustand der Hash-Kette war bisher nur per POST /api/audit-logs/verify
einsehbar - also praktisch nur fuer das Gegenbuch und fuer jemanden mit
curl. Jetzt steht er oben auf Einstellungen -> Audit-Protokoll.

Vier Zustaende statt gruen/rot: unversehrt; Befund; unversehrt aber
ungeschuetzter Altbestand (kein_siegel); nicht vollstaendig pruefbar
(signierte Zeilen ohne AUDIT_HMAC_KEY). Die beiden mittleren sind
bewusst nicht gruen - ein Protokoll mit unversiegeltem Altbestand ist
rechnerisch stimmig, aber am Altbestand unbemerkt aenderbar, und ein
Protokoll, das mangels Schluessel nicht pruefbar ist, ist schlicht
ungeprueft. Beides als "alles in Ordnung" zu zeigen waere genau die
Klasse Fehler, die diese Runde behandelt hat. Schlaegt die Pruefung
selbst fehl, steht dort ausdruecklich, dass das keine Entwarnung ist.

Aufklappbare Einzelheiten trennen die unterschiedlich schweren
Kategorien: nachtraeglich veraendert (ernst) / Verkettung unterbrochen /
davon ohne dokumentierte Loeschung / davon vom Siegel beglaubigt / ohne
Schluessel nicht pruefbar - mit Erklaerung im Klartext.

Die Pruefung liest die gesamte Kette; sie laeuft daher einmal beim
Oeffnen der Seite und wird 5 Minuten wiederverwendet. Bewusst read-only:
kein Siegel- oder Rehash-Knopf, denn diese Eingriffe verlangen
audit:admin und eine ausdrueckliche Bestaetigung und gehoeren nicht neben
eine Statusanzeige, die man im Vorbeigehen anklickt.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/todo.md

@@ -97,6 +97,34 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
 
 ## ✅ Erledigt
 
+- [x] **👁️ Integritätsstatus in der Oberfläche (Einstellungen → Audit-Protokoll)** (2026-08-26)
+  - Bisher war der Zustand der Hash-Kette nur per `POST /api/audit-logs/verify`
+    einsehbar – also praktisch nur für das Gegenbuch und für jemanden mit
+    `curl`. Jetzt steht er oben auf der Audit-Seite.
+  - Vier Zustände statt „grün/rot": **unversehrt**, **Befund**, **unversehrt
+    aber ungeschützter Altbestand** (`kein_siegel`), **nicht vollständig
+    prüfbar** (signierte Zeilen ohne `AUDIT_HMAC_KEY`).
+  - Die beiden mittleren Zustände sind bewusst nicht grün. Ein Protokoll mit
+    unversiegeltem Altbestand ist rechnerisch stimmig, aber am Altbestand
+    unbemerkt änderbar; ein Protokoll, das mangels Schlüssel nicht prüfbar ist,
+    ist schlicht ungeprüft. Beides als „alles in Ordnung" zu zeigen wäre
+    genau die Klasse Fehler, die diese ganze Runde behandelt hat.
+  - Schlägt die Prüfung selbst fehl, steht dort ausdrücklich: *„Das ist keine
+    Entwarnung – der Zustand der Kette ist damit schlicht unbekannt."*
+  - Aufklappbare Einzelheiten trennen die Kategorien, die nicht gleich schwer
+    wiegen: nachträglich verändert (ernst) / Verkettung unterbrochen /
+    davon ohne dokumentierte Löschung / davon vom Siegel beglaubigt /
+    ohne Schlüssel nicht prüfbar – mit einer Erklärung im Klartext darunter.
+  - Die Prüfung liest die **gesamte** Kette. Sie läuft deshalb einmal beim
+    Öffnen der Seite und wird 5 Minuten wiederverwendet; „Neu prüfen" erzwingt
+    einen frischen Lauf.
+  - Bewusst **read-only**: kein Siegel- oder Rehash-Knopf. Diese Eingriffe
+    verlangen `audit:admin` und eine ausdrückliche Bestätigung; sie gehören
+    nicht neben eine Statusanzeige, die man im Vorbeigehen anklickt.
+  - Dateien: `frontend/src/pages/settings/AuditIntegrityCard.tsx` (neu),
+    `frontend/src/pages/settings/AuditLogs.tsx`, `frontend/src/services/api.ts`
+    (Typ `IntegrityResult` ausgelagert)
+
 - [x] **🧾 Beglaubigte Alt-Lücken: Dauer-Alarm im Gegenbuch beendet** (2026-08-26)
   - **Ausgangslage.** Das Gegenbuch auf Prod meldete stündlich `exit=2`. Die
     CRM-Prüfung lieferte `valid: false` wegen **6 struktureller Lücken**