Docs: translate README and guides to German

README and all guides under docs/ are now in German, with German
anchors for the cross references. Code and configuration blocks are
unchanged.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/authentication.md

@@ -1,19 +1,19 @@
-# Authentication
+# Anmeldung
 
-`AUTH_MODE` selects how users sign in. The container refuses to start without a working
-configuration – there is no unauthenticated mode.
+`AUTH_MODE` legt fest, wie sich Benutzer anmelden. Ohne funktionierende Konfiguration startet
+der Container nicht – einen Modus ohne Anmeldung gibt es nicht.
 
-| Mode | Use when |
+| Modus | Einsatz |
 |---|---|
-| `local` | one shared admin account is enough |
-| `oidc` | you have an identity provider (Authentik, Keycloak, Authelia, Zitadel, …) |
-| `local,oidc` | SSO with a local fallback account |
-| `proxy` | your reverse proxy already authenticates (forward auth, basic auth, IP allow list) |
+| `local` | ein gemeinsames Admin-Konto reicht |
+| `oidc` | ein Identity Provider ist vorhanden (Authentik, Keycloak, Authelia, Zitadel, …) |
+| `local,oidc` | Single Sign-on mit lokalem Notfallkonto |
+| `proxy` | der Reverse Proxy meldet bereits an (Forward Auth, Basic Auth, IP-Liste) |
 
-Every change (ban/unban) additionally needs the per-session CSRF token and a matching
-`Origin` header, and every action is written to the audit log with the user name.
+Jede Änderung (Sperren/Entsperren) braucht zusätzlich das CSRF-Token der Sitzung und einen
+passenden `Origin`-Header; jede Aktion wird mit Benutzernamen protokolliert.
 
-## Local user
+## Lokaler Benutzer
 
 ```bash
 docker compose run --rm -it fail2ban-webui hash-password
@@ -25,42 +25,43 @@ AUTH_USER=admin
 AUTH_PASSWORD_HASH='scrypt:32768:8:1$…'
 ```
 
-- Passwords need at least 12 characters; the hash is scrypt (Werkzeug).
-- After `LOGIN_MAX_ATTEMPTS` (5) failures a client IP is locked for `LOGIN_LOCK_MINUTES` (15).
-- Failed logins are logged as `LOGIN_FAILED user=… ip=…` – see
-  [operations.md](operations.md#protecting-the-login-with-fail2ban) to let fail2ban ban
-  them at the proxy.
-- Set `TRUSTED_PROXY_HOPS=1` behind a reverse proxy, otherwise all clients appear with the
-  proxy's address and share one lockout counter.
+- Passwörter brauchen mindestens 12 Zeichen; der Hash ist scrypt (Werkzeug).
+- Nach `LOGIN_MAX_ATTEMPTS` (5) Fehlversuchen wird eine Client-IP für `LOGIN_LOCK_MINUTES` (15) gesperrt.
+- Fehlgeschlagene Anmeldungen werden als `LOGIN_FAILED user=… ip=…` protokolliert – siehe
+  [operations.md](operations.md#login-mit-fail2ban-absichern), um sie von fail2ban am Proxy
+  sperren zu lassen.
+- Hinter einem Reverse Proxy `TRUSTED_PROXY_HOPS=1` setzen, sonst erscheinen alle Clients
+  mit der Adresse des Proxys und teilen sich einen Sperrzähler.
 
 ## OpenID Connect
 
-Requirements: `PUBLIC_URL` is set to the external `https://` URL, and the provider allows
-the redirect URI **`<PUBLIC_URL>/auth/callback`**.
+Voraussetzungen: `PUBLIC_URL` ist auf die externe `https://`-URL gesetzt, und der Provider
+erlaubt die Redirect-URI **`<PUBLIC_URL>/auth/callback`**.
 
-The UI uses the authorization code flow with PKCE (`S256`) and a confidential client.
-User name: `OIDC_USERNAME_CLAIM` (default `preferred_username`); groups:
-`OIDC_GROUPS_CLAIM` (default `groups`).
+Die Oberfläche nutzt den Authorization Code Flow mit PKCE (`S256`) und einen vertraulichen
+Client. Benutzername: `OIDC_USERNAME_CLAIM` (Standard `preferred_username`); Gruppen:
+`OIDC_GROUPS_CLAIM` (Standard `groups`).
 
-**Always restrict who may sign in** with `OIDC_ALLOWED_GROUPS` and/or
-`OIDC_ALLOWED_USERS` – or with an access policy in the provider. Without either, every
-account that the provider lets use this client can ban IPs (a warning is logged at start).
+**Immer einschränken, wer sich anmelden darf** – mit `OIDC_ALLOWED_GROUPS` und/oder
+`OIDC_ALLOWED_USERS` oder mit einer Zugriffsrichtlinie im Provider. Ohne beides kann jedes
+Konto, das der Provider für diesen Client zulässt, IPs sperren (beim Start wird eine Warnung
+protokolliert).
 
 ### Authentik
 
 1. **Applications → Providers → Create → OAuth2/OpenID Provider**
    - Name: `fail2ban-webui`
-   - Authorization flow: `default-provider-authorization-explicit-consent` (or implicit)
-   - Client type: **Confidential** – note *Client ID* and *Client Secret*
+   - Authorization flow: `default-provider-authorization-explicit-consent` (oder implicit)
+   - Client type: **Confidential** – *Client ID* und *Client Secret* notieren
    - Redirect URIs: `strict` · `https://fail2ban.example.org/auth/callback`
-   - Signing key: any certificate (e.g. `authentik Self-signed Certificate`)
+   - Signing key: ein beliebiges Zertifikat (z. B. `authentik Self-signed Certificate`)
    - Advanced protocol settings → Scopes: `openid`, `email`, `profile`
-     (the default *profile* mapping contains the `groups` claim)
+     (das Standard-Mapping *profile* enthält den Claim `groups`)
 2. **Applications → Applications → Create**
-   - Name: `fail2ban-webui`, Slug: `fail2ban-webui`, Provider: the one from step 1
-3. **Directory → Groups → Create** `fail2ban-admins` and add the users.
-4. Optional, recommended: in the application under **Policy / Group / User Bindings**
-   bind the group `fail2ban-admins`, so nobody else even reaches the consent screen.
+   - Name: `fail2ban-webui`, Slug: `fail2ban-webui`, Provider: der aus Schritt 1
+3. **Directory → Groups → Create** `fail2ban-admins` anlegen und die Benutzer hinzufügen.
+4. Optional, empfohlen: in der Application unter **Policy / Group / User Bindings** die
+   Gruppe `fail2ban-admins` binden – dann kommt sonst niemand bis zur Zustimmungsseite.
 5. `.env`:
 
    ```ini
@@ -73,27 +74,27 @@ account that the provider lets use this client can ban IPs (a warning is logged
    OIDC_BUTTON_LABEL=Authentik
    ```
 
-6. `docker compose up -d`, open `PUBLIC_URL`, click **Sign in with Authentik**.
+6. `docker compose up -d`, `PUBLIC_URL` öffnen, auf **Anmelden mit Authentik** klicken.
 
-The issuer URL is shown in Authentik on the provider page (*OpenID Configuration Issuer*).
+Die Issuer-URL zeigt Authentik auf der Provider-Seite (*OpenID Configuration Issuer*).
 
-### Other providers
+### Andere Provider
 
-| Provider | `OIDC_ISSUER` | Groups |
+| Provider | `OIDC_ISSUER` | Gruppen |
 |---|---|---|
-| Keycloak | `https://kc.example.org/realms/<realm>` | add a *Group Membership* mapper with claim name `groups`, "Full group path" off |
-| Authelia | `https://auth.example.org` | `groups` scope; set `OIDC_SCOPES=openid email profile groups` |
-| Zitadel | `https://<instance>.zitadel.cloud` | roles instead of groups – use `OIDC_ALLOWED_USERS` or a project role check in Zitadel |
+| Keycloak | `https://kc.example.org/realms/<realm>` | einen *Group Membership*-Mapper mit Claim-Name `groups` anlegen, „Full group path" aus |
+| Authelia | `https://auth.example.org` | Scope `groups`; `OIDC_SCOPES=openid email profile groups` setzen |
+| Zitadel | `https://<instanz>.zitadel.cloud` | Rollen statt Gruppen – `OIDC_ALLOWED_USERS` oder eine Projektrollen-Prüfung in Zitadel verwenden |
 
-### Sign out
+### Abmelden
 
-"Sign out" ends the session in the web UI. The session at the provider stays active, so
-the next "Sign in with …" usually logs in again without a password.
+„Abmelden" beendet die Sitzung in der Weboberfläche. Die Sitzung beim Provider bleibt aktiv;
+der nächste Klick auf „Anmelden mit …" meldet daher meist ohne Passwort wieder an.
 
-## Reverse-proxy mode
+## Proxy-Modus
 
-The proxy does the authentication; the UI only checks where requests come from and,
-optionally, which user the proxy reports.
+Der Proxy übernimmt die Anmeldung; die Oberfläche prüft nur, woher Anfragen kommen, und
+optional, welchen Benutzer der Proxy meldet.
 
 ```ini
 AUTH_MODE=proxy
@@ -106,14 +107,13 @@ AUTH_PROXY_HEADER=X-authentik-username
 AUTH_PROXY_LOGOUT_URL=https://fail2ban.example.org/outpost.goauthentik.io/sign_out
 ```
 
-- `AUTH_PROXY_ALLOWED_IPS` is checked against the **direct** peer of the container, not
-  against `X-Forwarded-For`. If the proxy runs on the same Docker host and reaches the
-  container via the published port, that is the network gateway (`172.23.51.1` in the
-  example compose file); check with `docker compose logs` after a request.
-- With `AUTH_PROXY_HEADER` set, requests without the header are rejected (401). Make sure
-  the proxy **removes** that header from client requests – forward-auth integrations
-  (Authentik, Authelia) do that.
-- Without `AUTH_PROXY_HEADER` the audit log shows the user `proxy`.
+- `AUTH_PROXY_ALLOWED_IPS` wird gegen den **direkten** Gegenüber des Containers geprüft,
+  nicht gegen `X-Forwarded-For`. Läuft der Proxy auf demselben Docker-Host und erreicht den
+  Container über den veröffentlichten Port, ist das das Netzwerk-Gateway (`172.23.51.1` in
+  der Beispiel-Compose); nach einer Anfrage mit `docker compose logs` prüfen.
+- Ist `AUTH_PROXY_HEADER` gesetzt, werden Anfragen ohne diesen Header abgelehnt (401). Der
+  Proxy muss diesen Header aus Client-Anfragen **entfernen** – Forward-Auth-Integrationen
+  (Authentik, Authelia) tun das.
+- Ohne `AUTH_PROXY_HEADER` steht im Protokoll der Benutzer `proxy`.
 
-Examples for Nginx Proxy Manager, Traefik and Caddy are in
-[reverse-proxy.md](reverse-proxy.md).
+Beispiele für Nginx Proxy Manager, Traefik und Caddy stehen in [reverse-proxy.md](reverse-proxy.md).