Docs: translate README and guides to German

README and all guides under docs/ are now in German, with German
anchors for the cross references. Code and configuration blocks are
unchanged.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/reverse-proxy.md

@@ -1,42 +1,42 @@
-# Reverse proxy
+# Reverse Proxy
 
-The container serves plain HTTP on port 8080 (published as `127.0.0.1:8080` in the
-example). Put a reverse proxy with TLS in front of it and set in `.env`:
+Der Container liefert reines HTTP auf Port 8080 (im Beispiel veröffentlicht als
+`127.0.0.1:8080`). Davor gehört ein Reverse Proxy mit TLS; in der `.env` dazu setzen:
 
 ```ini
 PUBLIC_URL=https://fail2ban.example.org
 TRUSTED_PROXY_HOPS=1
 ```
 
-The proxy must pass `Host` unchanged and set `X-Forwarded-For` and `X-Forwarded-Proto` –
-all examples below do. Restricting access to known IP addresses at the proxy is a cheap
-extra layer and strongly recommended.
+Der Proxy muss `Host` unverändert weitergeben und `X-Forwarded-For` sowie `X-Forwarded-Proto`
+setzen – alle Beispiele unten tun das. Den Zugriff am Proxy zusätzlich auf bekannte
+IP-Adressen zu beschränken kostet wenig und ist dringend empfohlen.
 
 ## Nginx Proxy Manager
 
 **Hosts → Proxy Hosts → Add Proxy Host**
 
-| Field | Value |
+| Feld | Wert |
 |---|---|
 | Domain Names | `fail2ban.example.org` |
-| Scheme / Forward Hostname / Port | `http` · IP of the Docker host (or `127.0.0.1` if NPM runs with host networking) · `8080` |
-| Block Common Exploits | on |
-| SSL | request a certificate, *Force SSL*, *HTTP/2*, *HSTS* |
-| Access List | optional: an access list with your IP addresses (*Satisfy any* off) |
+| Scheme / Forward Hostname / Port | `http` · IP des Docker-Hosts (oder `127.0.0.1`, wenn NPM im Host-Netzwerk läuft) · `8080` |
+| Block Common Exploits | an |
+| SSL | Zertifikat anfordern, *Force SSL*, *HTTP/2*, *HSTS* |
+| Access List | optional: eine Access List mit deinen IP-Adressen (*Satisfy any* aus) |
 
-If NPM runs in another Docker network on the same host, bind the UI port to the host's
-LAN address (e.g. `"192.168.1.10:8080:8080"`) or attach the UI to NPM's network and use
-`fail2ban-webui:8080` as target.
+Läuft NPM auf demselben Host in einem anderen Docker-Netz, den Port der Oberfläche an die
+LAN-Adresse des Hosts binden (z. B. `"192.168.1.10:8080:8080"`) oder die Oberfläche an das
+Netz von NPM hängen und `fail2ban-webui:8080` als Ziel verwenden.
 
-Response headers belong into **Advanced → Custom Nginx Configuration**; NPM's image
-includes the *headers-more* module, which also applies them to proxied responses:
+Antwort-Header gehören nach **Advanced → Custom Nginx Configuration**; das NPM-Image enthält
+das Modul *headers-more*, das sie auch auf weitergeleitete Antworten anwendet:
 
 ```nginx
 more_set_headers "Strict-Transport-Security: max-age=31536000; includeSubDomains";
 ```
 
-(The app sets CSP, `X-Frame-Options`, `X-Content-Type-Options`, `Referrer-Policy` and
-`Cache-Control` itself.)
+(CSP, `X-Frame-Options`, `X-Content-Type-Options`, `Referrer-Policy` und `Cache-Control`
+setzt die App selbst.)
 
 ## Caddy
 
@@ -50,11 +50,11 @@ fail2ban.example.org {
 }
 ```
 
-Caddy sets `X-Forwarded-For`/`-Proto` automatically.
+Caddy setzt `X-Forwarded-For`/`-Proto` automatisch.
 
-## Traefik (Docker labels)
+## Traefik (Docker-Labels)
 
-Attach the container to Traefik's network and add labels instead of publishing the port:
+Den Container an das Netz von Traefik hängen und Labels setzen, statt den Port zu veröffentlichen:
 
 ```yaml
 services:
@@ -73,7 +73,7 @@ services:
       - traefik
 ```
 
-### Traefik with Authentik forward auth (proxy mode)
+### Traefik mit Authentik Forward Auth (Proxy-Modus)
 
 ```yaml
       - traefik.http.routers.f2bwebui.middlewares=authentik@docker
@@ -110,12 +110,12 @@ server {
 }
 ```
 
-## Check
+## Prüfen
 
 ```bash
 curl -sI https://fail2ban.example.org/login | grep -iE '^(HTTP|content-security|set-cookie)'
 ```
 
-Expect `HTTP/2 200`, the `Content-Security-Policy` header and a session cookie with
-`Secure; HttpOnly; SameSite=Lax`. A cookie without `Secure` means `PUBLIC_URL` does not
-start with `https://`.
+Erwartet werden `HTTP/2 200`, der Header `Content-Security-Policy` und ein Sitzungs-Cookie
+mit `Secure; HttpOnly; SameSite=Lax`. Fehlt `Secure` am Cookie, beginnt `PUBLIC_URL` nicht
+mit `https://`.