security(rescan): Notbremse vor dem harten Löschen

internal/rescan ist das einzige Stück Aether, das hart löscht: DELETE FROM
files, kein Papierkorb. Entfernt wird, was beim Durchgang über die Platte nicht
gesehen wurde.

Der Ernstfall ist nicht ausgedacht. LocalFS.Walk gibt für ein nicht vorhandenes
Verzeichnis nil zurück – kein Fehler, keine Einträge. Genau der Fingerabdruck
eines Bind-Mounts, der nach einem Neustart nicht hochkam, oder eines
Tippfehlers in DATA_PATH. Dann gilt jede Datei als verwaist, und ein einziger
Aufruf mit ?anwenden=true löscht den gesamten Bestand aus der Datenbank. Die
Bytes lägen noch da, aber niemand wüsste mehr, dass es sie gibt – und der GC
räumte sie 24 Stunden später ab.

Der GC hat diese Bremse seit dem 12.09. Beide gleichen Platte und Datenbank ab,
nur aus entgegengesetzter Richtung, und beide haben denselben Fehlerfall: Eine
Seite antwortet fälschlich mit „leer". Der GC löscht dann Blobs – die Datenbank
weiss hinterher noch, was fehlt. Hier fällt die Zeile selbst. Die gefährlichere
Seite war die ungesicherte.

Zwei Bremsen: Die Notbremse (nichts gefunden, Datenbank kennt Dateien) lässt
sich nicht übersteuern. Die Mengenbremse (mehr als die Hälfte) verlangt
&bestaetigt=true. Die leere Installation ist ausgenommen.

Dazu umgebaut: erst sammeln, dann entscheiden, dann löschen. Vorher wurde
mitten in der Schleife gelöscht; die Gesamtzahl kennt man dort erst, wenn die
Hälfte schon weg ist.

Der Bericht nennt den Grund und ob er bestätigbar ist – die Oberfläche soll
keinen Knopf anbieten, der nichts bewirkt. Ein abgebrochener Lauf steht rot in
der Karte und im Audit-Log; gerade der, denn er ist der Hinweis darauf, dass
mit dem Datenordner etwas nicht stimmt.

Fünf Tests, unter Mutation nachgewiesen. Der Ernstfall läuft am echten Gerät:
fünf Zeilen in der Datenbank, ein Wurzelverzeichnis ohne users/ – nach Apply
stehen alle fünf noch, auch mit Bestätigung.

audit und thumbnails bekommen bewusst keine Go-Tests; die Begründung steht in
BEFUNDE.md statt als ewig offener Punkt.

Nebenbefund behoben: kalender-teilen-selbsttest.py leckte je Lauf ein
App-Passwort des Besitzers. Nach achtzehn Läufen war maxAppPasswords = 20
erreicht, und zwei Suiten scheiterten mit 409, ohne dass am Code etwas kaputt
war.

Geprüft: go build/vet sauber, alle Go-Pakete grün, 243 Prüfungen der sieben
Selbsttest-Suiten grün, 48 Vitest-Tests, tsc sauber.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

BEFUNDE.md

@@ -9,7 +9,8 @@
 > | Punkte 1, 2, 2b, 3 (teilweise) | ✅ erledigt |
 > | Go-Tests `documents`, `tags` | ✅ 12 Testfunktionen |
 > | Go-Tests `sharing` | ✅ 6 Testfunktionen (25.09.) |
-> | Go-Tests `rescan`, `audit`, `thumbnails` | **offen** |
+> | Go-Tests `rescan` | ✅ 5 Testfunktionen (26.09.) – dabei eine fehlende Notbremse gefunden |
+> | Go-Tests `audit`, `thumbnails` | **bewusst nicht** – siehe unten |
 > | Frontend-DOM-Tests | ✅ jsdom seit 18.09., 46 Tests |
 >
 > Dazwischen lag eine Woche Oberflächenarbeit, die hier nicht auftaucht, weil
@@ -182,7 +183,7 @@ Zwei Tests in `pkg/middleware/logger_test.go` halten es fest.
 | `internal/tags` | 1338 | **4** ✅ | keine |
 | `internal/documents` (OCR, Volltext) | 1243 | **8** ✅ | keine |
 | `internal/sharing` | 347 | **6** ✅ | Python-Selbsttest, 31 Prüfungen |
-| `internal/rescan` | 435 | **0** | Python-Selbsttest, 20 Prüfungen |
+| `internal/rescan` | 435 | **5** ✅ | Python-Selbsttest, 20 Prüfungen |
 | `internal/audit` | 180 | **0** | keine |
 | `internal/thumbnails` | 95 | **0** | keine |
 
@@ -236,6 +237,16 @@ Python-Selbsttest), `internal/audit` und `internal/thumbnails`.
 
 ---
 
+### `audit` und `thumbnails`: bewusst ohne Go-Tests (26.09.2026)
+
+Nicht vergessen, sondern entschieden. Ein Fehler in `thumbnails` (95 Zeilen)
+erzeugt ein hässliches Vorschaubild; einer in `audit` (180 Zeilen) kostet einen
+Protokolleintrag. Beide schreiben nichts kaputt und löschen nichts.
+
+Tests dafür wären Häkchen, keine Absicherung – und sie kosten dieselbe
+Aufmerksamkeit wie die Stellen, an denen wirklich etwas passieren kann. Wer sie
+später doch will, hat damit wenigstens die Gegenrede.
+
 ## 4 · Was in Ordnung ist
 
 Der Vollständigkeit halber, weil eine Liste nur aus Mängeln ein falsches Bild