Workspace: Aufgabenbrett und Dashboard-Zahlen

Erster echter Arbeitsbereich aus dem Konzept. Kanban mit offen / in
Arbeit / Review / erledigt, dazu Prioritaet, Frist, Verantwortlicher und
Zuordnung zu einem Creator-Bereich.

Kern ist die Datentrennung, und die sitzt AUSSCHLIESSLICH im Server --
in jeder einzelnen Abfrage, an einer Stelle definiert (sichtbar()):
  admin   sieht alles
  creator sieht seinen Bereich und was ihm zugewiesen ist
  scout   sieht nur, was ihm zugewiesen ist

Geprueft mit vier Testkonten:
- Chef sieht 4, Luna 2, Mika 1, Sam 1 Aufgaben
- Luna auf Mikas Aufgabe: 404 (nicht 403 -- sonst liesse sich durch
  Ausprobieren herausfinden, welche Nummern es gibt)
- Luna legt Aufgabe mit creator_id=Mika an: wird still auf ihren eigenen
  Bereich umgebogen, Mika sieht sie nicht
- Anfrage mit fremdem Origin: 403
- ohne Anmeldung: 401, ungueltiger Status/leerer Titel: 400
- Scout bekommt in der Personenliste nur sich selbst
- Dashboard-Zahlen je Rolle korrekt eingegrenzt

Weitere Punkte:
- Texte werden im Browser nur ueber textContent gesetzt, nie innerHTML --
  ein Aufgabentitel darf keine Auszeichnung einschleusen
- ueberfaellig = Frist vorbei UND nicht erledigt; die Kachel faerbt sich
  nur, wenn wirklich etwas ansteht
- erledigt_am wird gesetzt bzw. wieder geleert, wenn eine Aufgabe
  zurueckgeholt wird
- Erledigtes verschwindet nicht, wie im Konzept gefordert

server/index.js

@@ -14,6 +14,7 @@ import { gateMiddleware } from "./gate.js";
 import { webdesignGate } from "./webdesign-gate.js";
 import { inhaltsrichtlinie } from "./inhaltsrichtlinie.js";
 import { workspaceRouter } from "./workspace.js";
+import { aufgabenRouter } from "./workspace-aufgaben.js";
 
 const __dirname = dirname(fileURLToPath(import.meta.url));
 const SITE_DIR = join(__dirname, "..");
@@ -68,6 +69,7 @@ app.use(webdesignGate);
    Es öffnet beim Laden keine Datenbank, und jede Route fängt ihre Fehler
    selbst ab (Begründung im Kopf von workspace.js). */
 app.use(workspaceRouter);
+app.use(aufgabenRouter);
 
 /* Sicherheits-Fix 20.08.2026 (Audit vor dem geplanten öffentlichen Start morgen).
    SITE_DIR ist der GESAMTE Repo-Ordner (join(__dirname, "..")) — express.static liefert