Niemand sieht VanVan ausser DogFather -- plus vier Punkte vom Screen

--- DAS WICHTIGSTE ZUERST: die Verbergungsregel ---

Filipe, ausdruecklich und dringlich: "und noch gaaaaaanz wichtig keiner
soll vanvan sehen ausser ich, ueberall soll keiner vanvan sehen ausser
dogfather."

ES GAB DAVON NUR EINE HAELFTE. In der Personenliste wurde der zweite
Admin-Zugang fuer Spicy Media ausgeblendet (Wunsch vom 31.08.).
Ueberall sonst -- Chat, Kalender, Aufgaben, Dateien, Zentrale -- war er
sichtbar. `sichtbarePersonenIds` hat ihn sogar ausdruecklich JEDER
Rolle gezeigt, weil sie alle Admins einsammelt.

WORAN DIE BEIDEN AUSEINANDERGEHALTEN WERDEN: In der Datenbank tragen
beide die Rolle `admin`, es gibt kein unterscheidendes Feld. Der
Unterschied, den es wirklich gibt, ist das Alter -- DogFather ist der
erste Zugang. Also: der Admin mit der kleinsten Nummer ist DogFather,
alle weiteren sind verborgen. Drei Ausnahmen: DogFather sieht alle,
ein verborgener Zugang sieht sich selbst, und bei nur einem Admin gibt
es nichts zu verbergen.

WARUM AN EINER STELLE UND NICHT IN DEN ABFRAGEN: Allein
workspace-personen.js hat 23 Abfragen auf `personen`. Eine Regel, die
man 23-mal wiederholt, ist 23 Gelegenheiten, sie zu vergessen -- und
beim Vergessen faellt niemand auf die Nase, sondern jemand SIEHT etwas.
Die Regel sitzt deshalb in `verborgeneIds()` und wird ueber einen
MANTEL um die sechs Listenfunktionen gelegt: Diese haben zusammen
achtzehn Rueckgabewege; sie einzeln zu flicken waeren achtzehn
Gelegenheiten, einen zu uebersehen. Die ungefilterten Fassungen
(`...Roh`) werden nicht mehr exportiert -- niemand kann sie
versehentlich benutzen.

`null` HIESS BISHER "SIEHT ALLES". Sobald es etwas zu verbergen gibt,
gilt das nicht mehr: Die Liste wird ausgeschrieben. Das ist strenger,
nicht lockerer.

NEUE PRUEFUNG server/pruef-verborgen.mjs -- sechs Personen (darunter
ein zweiter Admin), fuenf Schnittstellen, jede Rolle einzeln. Sie hat
beim ersten Lauf sofort ein Loch gefunden, das ich sonst nicht bemerkt
haette: Die ZENTRALE holt sich das Haus selbst und ging an allen
Listenfunktionen vorbei -- Spicy Media sah VanVan dort als Segment im
Team-Ring. Und beim Korrigieren der Pruefpfade fiel ein zweites auf:
`darfEintragen` im Kalender liess die Leitung JEDEN eintragen, bevor
ueberhaupt eine Liste befragt wurde. Eine Sichtbarkeitsregel, die nur
beim Lesen gilt und nicht beim Schreiben, hat ein Loch in der Mitte.

Die Pruefung hat eine Gegenprobe: Ein Manager MUSS DogFather in
derselben Liste sehen -- sonst waere "sieht VanVan nicht" auch dann
gruen, wenn die Listen leer zurueckkaemen.

--- screen1 Punkt 1: Silber mit Babyblau ---

"ich will dass diese farbe gemischt wird mit babyblau."

#c7dcf4 statt #d8e0ec -- dieselbe Helligkeit, mit Blaurichtung.
Nachgerechnet bleibt der Abstand zur naechsten Rolle bei 0,1790, immer
noch weiter als das frueher benutzte Babyblau (0,1349). Gemischt ist es
ausserdem SICHTBAR: Die Schiene laeuft von Silber nach Babyblau, und
der Glanz traegt beide Toene. Eine Mischung, die man nur im Hexwert
findet, ist keine.

--- screen1 Punkt 2: das Wasserzeichen ---

"soll viel groesser sein und nicht so abgecuttet sondern gut zu sehen
sein."

NACHGEMESSEN war es auf der Dashboard-Kachel zu 50 Prozent
abgeschnitten, und zwar auf DREI Seiten: 36 px ueber dem oberen Rand,
44 rechts, 60 unten -- 220 px Zeichen auf einer 152 px hohen Kachel.

UND ES GAB ZUM DRITTEN MAL DIESE WOCHE EINE DOPPELREGEL: 3600 Zeilen
unter der sorgfaeltig begruendeten Fassung (156 px bei 0,14) stand eine
zweite (118 px bei 0,085) mit derselben Spezifitaet. Sie gewann, und
die Begruendung oben war wirkungslos. Am 08.09. hatte ich beim
Wasserzeichen schon einmal genau so eine Doppelung gefunden -- und
diese hier uebersehen.

Jetzt eine Fassung, und die Groesse haengt an der KACHELHOEHE: Ein um
8 Grad gedrehtes Quadrat der Seite S braucht S x 1,129 Platz, also
`min(132px, 100% - 30px)`. Nachgemessen 100 Prozent sichtbar statt 50,
bei 0,14 statt 0,085 -- die sichtbare Flaeche hat sich verdoppelt.

--- screen1 Punkt 3: die Personenliste in einer Kachel ---

Die fuenf Rollengruppen standen als fuenf lose Abschnitte frei auf dem
Hintergrundbild. Es ist aber EINE Liste mit fuenf Abschnitten. Jetzt
eine Sammelkachel aus der Modulliste, mit dunklen Fugen statt Luft --
und dunkler als die Karten darin, wie eine Vitrine.

--- screen1 Punkt 4: "Womit meldest du dich an?" ---

Der einzige Satz auf der Anmeldeseite, der eine FRAGE stellt, stand als
graue Feldbeschriftung da. Jetzt gebuerstetes Metall, ein Anschlag aus
drei Kerben in Rot und Babyblau und eine auslaufende Linie -- dieselbe
Sprache wie die Typenschilder im Workspace. Rueckfall vollwertig: Faellt
`background-clip: text` aus, steht dort heller Text.

Geprueft: pruef-verborgen (neu), pruef-rollen, pruef-start-ansicht,
pruef-css-klassen, pruef-workspace-seiten, pruef-buehne, pruef-handy,
pruef-chat, pruef-kalender -- alle in Ordnung.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace.js

@@ -2267,7 +2267,7 @@ export function scoutsVon(managerId) {
 /** Wessen Leads darf diese Person sehen? Gibt die Personennummern
  *  zurueck, deren Pipeline sichtbar ist -- der eigene immer dabei.
  *  Ein Scout sieht nur sich, ein Manager sich und seine Scouts. */
-export function pipelineIds(person) {
+function pipelineIdsRoh(person) {
   if (!person) return [];
   if (person.rolle !== "manager") return [person.id];
   return [...new Set([person.id, ...scoutsVon(person.id)])];
@@ -2319,7 +2319,7 @@ export function scoutZuteilungSetzen(scoutId, managerId, akteur = null) {
 
 /** Die Creator, deren Daten diese Person sehen darf.
  *  null = alle (nur DogFather). */
-export function sichtbareCreatorIds(person) {
+function sichtbareCreatorIdsRoh(person) {
   if (!person) return [];
   if (siehtAlles(person)) return null;
   if (person.rolle === "creator") return [person.id];
@@ -2332,7 +2332,85 @@ export function sichtbareCreatorIds(person) {
  *  Enthält immer die Person selbst: Wer sich in einer Auswahl nicht
  *  findet, kann sich nichts selbst zuweisen. Bei einem Manager kommen
  *  seine Scouts dazu -- er führt sie, er muss sie eintragen können. */
-export function sichtbarePersonenIds(person) {
+/* =====================================================================
+   WEN DARF DIESE PERSON NICHT SEHEN? (09.09.2026)
+
+   Wunsch Filipe, ausdruecklich und dringlich: *"und noch gaaaaaanz
+   wichtig keiner soll vanvan sehen ausser ich, ueberall soll keiner
+   vanvan sehen ausser dogfather."*
+
+   Es gab davon bisher nur eine Haelfte: In der Personenliste wurde der
+   zweite Admin-Zugang fuer Spicy Media ausgeblendet (Wunsch vom
+   31.08.). Ueberall sonst -- Chat, Kalender, Aufgaben, Dateien, Suche
+   -- war er sichtbar, und `sichtbarePersonenIds` hat ihn sogar
+   ausdruecklich JEDER Rolle gezeigt, weil sie alle Admins einsammelt
+   ("DogFather ist fuer alle sichtbar").
+
+   WORAN DIE BEIDEN AUSEINANDERGEHALTEN WERDEN: In der Datenbank tragen
+   beide die Rolle `admin`, es gibt kein unterscheidendes Feld. Der
+   Unterschied, den es wirklich gibt, ist das Alter -- DogFather ist
+   der erste Zugang des Hauses. Deshalb gilt: der Admin mit der
+   KLEINSTEN Nummer ist DogFather, alle weiteren Admin-Zugaenge sind
+   verborgen.
+
+   DREI AUSNAHMEN, und nur diese drei:
+     * DogFather selbst sieht alle.
+     * Ein verborgener Zugang sieht sich selbst (sonst faende er sein
+       eigenes Profil nicht).
+     * Gibt es nur EINEN Admin, ist nichts zu verbergen.
+
+   DIE SCHWACHSTELLE STEHT HIER, damit sie niemand suchen muss: Wuerde
+   Zugang 1 geloescht, rueckte der naechste Admin nach und waere
+   ploetzlich sichtbar. Sollte das eintreten, gehoert ein
+   ausdrueckliches Merkmal in die Tabelle (`haupt`-Feld). Solange
+   DogFather der erste Zugang ist, ist die Nummer die ehrlichste
+   Antwort ohne Datenbankumbau -- und sie haengt nicht am NAMEN, der
+   sich aendern kann.
+
+   WARUM AN DIESER STELLE UND NICHT IN DEN ABFRAGEN: Es gibt 23
+   Abfragen allein in workspace-personen.js, die Personen lesen. Eine
+   Regel, die man an 23 Stellen wiederholt, ist 23 Gelegenheiten, sie
+   zu vergessen -- und beim Vergessen faellt hier niemand auf die Nase,
+   sondern es sieht jemand etwas, das er nicht sehen soll. Deshalb
+   sitzt sie in den SECHS Listenfunktionen, durch die alles laeuft.
+   ===================================================================== */
+export function verborgeneIds(person) {
+  try {
+    const admins = db().prepare(
+      "SELECT id FROM personen WHERE rolle = 'admin' ORDER BY id").all().map((z) => z.id);
+    if (admins.length < 2) return [];
+    const versteckt = admins.slice(1);
+    if (!person) return versteckt;
+    if (person.id === admins[0]) return [];          /* DogFather sieht alle */
+    if (versteckt.includes(person.id)) return [];    /* sich selbst sieht man */
+    return versteckt;
+  } catch {
+    /* Ohne Datenbank lieber nichts verbergen als abstuerzen -- diese
+       Funktion darf keine Seite lahmlegen. Sie laeuft in jedem
+       Listenaufruf. */
+    return [];
+  }
+}
+
+/** Dieselbe Regel als Filter auf eine fertige Liste. */
+export function ohneVerborgene(ids, person) {
+  const weg = verborgeneIds(person);
+  if (!weg.length) return ids;
+  if (ids === null) {
+    /* `null` heisst bisher "sieht alles". Sobald es etwas zu verbergen
+       gibt, darf das nicht mehr gelten -- die Liste wird deshalb
+       AUSGESCHRIEBEN. Das ist strenger, nicht lockerer, und die
+       Aufrufer bauen daraus ohnehin ein `IN (...)`. */
+    try {
+      return db().prepare(
+        `SELECT id FROM personen WHERE id NOT IN (${weg.map(() => "?").join(",")})`)
+        .all(...weg).map((z) => z.id);
+    } catch { return null; }
+  }
+  return ids.filter((i) => !weg.includes(i));
+}
+
+function sichtbarePersonenIdsRoh(person) {
   if (!person) return [];
   if (siehtAlles(person)) return null;
   const creator = sichtbareCreatorIds(person) || [];
@@ -2369,7 +2447,7 @@ export function sichtbarePersonenIds(person) {
  *  gebraucht wurde: Ein Creator soll die Daten seines Scouts nicht
  *  sehen. Für eine EINLADUNG ist die Frage aber eine andere -- siehe
  *  einladbareIds(). */
-export function betreuerIds(person) {
+function betreuerIdsRoh(person) {
   if (!person) return [];
   try {
     const d = db();
@@ -2417,7 +2495,7 @@ export function betreuerIds(person) {
  *  Deshalb ist die weitere Menge hier vertretbar.
  *
  *  null = alle (nur DogFather), wie überall in dieser Datei. */
-export function einladbareIds(person) {
+function einladbareIdsRoh(person) {
   if (!person) return [];
   if (siehtAlles(person)) return null;
   const sichtbar = sichtbarePersonenIds(person) || [];
@@ -2450,7 +2528,7 @@ export function einladbareIds(person) {
  *  anderen Creator weiterhin nicht sehen.
  *
  *  null = alle (nur DogFather). */
-export function schreibbareIds(person) {
+function schreibbareIdsRoh(person) {
   if (!person) return [];
   if (siehtAlles(person)) return null;
 
@@ -2902,3 +2980,28 @@ export function protokollLesen(anzahl = 20) {
     "SELECT zeitpunkt, rolle, aktion, detail, ip FROM protokoll ORDER BY id DESC LIMIT ?"
   ).all(anzahl);
 }
+
+/* =====================================================================
+   DER MANTEL UM DIE SECHS LISTENFUNKTIONEN (09.09.2026)
+
+   Jede von ihnen hat mehrere Rueckgabewege -- `sichtbarePersonenIds`
+   allein drei. Die Verbergungsregel an jedem einzelnen anzubringen
+   waere achtzehn Gelegenheiten, einen zu vergessen; und wer hier einen
+   vergisst, merkt es nicht an einem Fehler, sondern daran, dass jemand
+   etwas sieht, das er nicht sehen soll.
+
+   Deshalb bleiben die Funktionen unveraendert (jetzt mit `Roh` im
+   Namen) und werden EINMAL ummantelt. Der Mantel ist die einzige
+   Stelle, an der die Regel steht -- und er kann keinen Rueckgabeweg
+   uebersehen, weil er hinter allen sitzt.
+
+   Die Namen nach aussen bleiben gleich: Kein Aufrufer muss geaendert
+   werden, und niemand kann versehentlich die ungefilterte Fassung
+   benutzen -- die `Roh`-Funktionen werden nicht exportiert.
+   ===================================================================== */
+export const sichtbareCreatorIds = (person) => ohneVerborgene(sichtbareCreatorIdsRoh(person), person);
+export const sichtbarePersonenIds = (person) => ohneVerborgene(sichtbarePersonenIdsRoh(person), person);
+export const betreuerIds = (person) => ohneVerborgene(betreuerIdsRoh(person), person);
+export const einladbareIds = (person) => ohneVerborgene(einladbareIdsRoh(person), person);
+export const schreibbareIds = (person) => ohneVerborgene(schreibbareIdsRoh(person), person);
+export const pipelineIds = (person) => ohneVerborgene(pipelineIdsRoh(person), person);