Materialänderungslog: Historie-Endpunkt + Admin-Tab

historie-Tabelle (append-only Audit-Trail über Kontrolle/Fehlbestand/
Nachfüllung/Mindermenge) war bisher nur intern befüllt, ohne API/UI. Neu:
GET /api/v1/historie (gefiltert nach Typ/ID/Benutzer/Zeitraum, paginiert,
Benutzername aufgelöst), Admin-Portal-Tab "Änderungslog" mit Typ-Filter.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV

backend/tests/test_historie.py

@@ -60,3 +60,40 @@ async def test_historie_kette_soll10_ist8_genehmigt_dann_nachgefuellt(
     # Reine Teilfolge-Prüfung (keine anderen Events dazwischen erwartet, aber falls
     # doch, ist die Reihenfolge der genannten Ereignisse das eigentlich Wichtige).
     assert ereignisse == erwartete_reihenfolge
+
+
+@pytest.mark.asyncio
+async def test_historie_endpunkt_liefert_gefiltert(
+    client, db_session, objekt_mit_position, mitarbeiter_user, materialverantwortlicher_user
+):
+    objekt, material = objekt_mit_position
+    mitarbeiter_token = await login(client, "mitarbeiter1")
+
+    start = await client.post(
+        f"/api/v1/objekte/{objekt.id}/kontrollen", json={"uebernehmen": False}, headers=auth_header(mitarbeiter_token)
+    )
+    kontrolle_id = start.json()["id"]
+    await client.put(
+        f"/api/v1/kontrollen/{kontrolle_id}/positionen/{material.id}",
+        json={"istmenge": "10"},
+        headers=auth_header(mitarbeiter_token),
+    )
+
+    verantwortlicher_token = await login(client, "materialverantwortlicher1")
+    response = await client.get(
+        "/api/v1/historie",
+        params={"entitaet_typ": "kontrolle", "entitaet_id": kontrolle_id},
+        headers=auth_header(verantwortlicher_token),
+    )
+    assert response.status_code == 200
+    body = response.json()
+    assert len(body) >= 1
+    assert all(e["entitaet_typ"] == "kontrolle" for e in body)
+    assert body[0]["benutzer_name"] == "Test Mitarbeiter"
+
+
+@pytest.mark.asyncio
+async def test_historie_mitarbeiter_ohne_zugriff(client, mitarbeiter_user):
+    token = await login(client, "mitarbeiter1")
+    response = await client.get("/api/v1/historie", headers=auth_header(token))
+    assert response.status_code == 403