Materialänderungslog: Historie-Endpunkt + Admin-Tab

historie-Tabelle (append-only Audit-Trail über Kontrolle/Fehlbestand/
Nachfüllung/Mindermenge) war bisher nur intern befüllt, ohne API/UI. Neu:
GET /api/v1/historie (gefiltert nach Typ/ID/Benutzer/Zeitraum, paginiert,
Benutzername aufgelöst), Admin-Portal-Tab "Änderungslog" mit Typ-Filter.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV

DEVLOG.md

@@ -2951,3 +2951,60 @@ Keine Commits in dieser Session.
 - .../test/widget/objekt_list_screen_test.dart       | 51 ++++++++++++
 
 ---
+## 2026-09-04 18:41 – 18:50 (8m)
+**Beschreibung:** Claude Code Session
+**Projekt:** asb-material
+
+### Commits
+- d7c3e52 fix(migration): revision-id 0007 kürzen (alembic_version ist VARCHAR(32))
+- 9c85f71 fix(migration): 0007 - ein op.execute() pro Statement (asyncpg-Limitierung)
+- ceddeb1 Multi-Agent-Review: Race Conditions, DB-Indizes, TLS/Security-Härtung
+
+### Geänderte Dateien
+- ...07_indizes_und_unique_constraints.py => 0007_indizes_und_locks.py} | 4 ++--
+
+---
+## 2026-09-04 18:52 – 18:53 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** asb-material
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- ...07_indizes_und_unique_constraints.py => 0007_indizes_und_locks.py} | 4 ++--
+
+---
+## 2026-09-04 19:20 – 19:20 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** asb-material
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- ...07_indizes_und_unique_constraints.py => 0007_indizes_und_locks.py} | 4 ++--
+
+---
+## 2026-09-04 19:21 – 19:21 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** asb-material
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- ...07_indizes_und_unique_constraints.py => 0007_indizes_und_locks.py} | 4 ++--
+
+---
+## 2026-09-04 19:51 – 19:51 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** asb-material
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- ...07_indizes_und_unique_constraints.py => 0007_indizes_und_locks.py} | 4 ++--
+
+---

backend/DEVLOG.md

@@ -105,3 +105,14 @@ Keine Commits in dieser Session.
 - backend/scripts/test_label_erzeugen.py | 34 ++++++++++++++++++++++++++++++++++
 
 ---
+## 2026-09-04 19:52 – 19:53 (1m)
+**Beschreibung:** Claude Code Session
+**Projekt:** asb-material
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- ...07_indizes_und_unique_constraints.py => 0007_indizes_und_locks.py} | 4 ++--
+
+---

backend/app/api/v1/api.py

@@ -7,6 +7,7 @@ from app.api.v1.endpoints import (
     eskalation,
     fehlbestaende,
     health,
+    historie,
     kontrollen,
     objekte,
     stammdaten,
@@ -25,4 +26,5 @@ api_router.include_router(objekte.router, tags=["objekte"])
 api_router.include_router(kontrollen.router, tags=["kontrollen"])
 api_router.include_router(fehlbestaende.router, tags=["fehlbestaende"])
 api_router.include_router(eskalation.router, tags=["eskalation"])
+api_router.include_router(historie.router, tags=["historie"])
 api_router.include_router(dashboard.router, tags=["dashboard"])

backend/app/api/v1/endpoints/historie.py

@@ -0,0 +1,63 @@
+from datetime import datetime
+
+from fastapi import APIRouter, Depends
+from sqlalchemy import select
+from sqlalchemy.ext.asyncio import AsyncSession
+
+from app.api.deps import require_roles
+from app.db.session import get_db
+from app.models.auth import Benutzer, RolleTyp
+from app.models.historie import Historie
+from app.schemas.historie import HistorieRead
+
+router = APIRouter()
+
+_verantwortliche = require_roles(
+    RolleTyp.administration, RolleTyp.materialverantwortlicher, RolleTyp.leitungsverantwortlicher
+)
+
+
+@router.get("/historie", response_model=list[HistorieRead])
+async def liste_historie(
+    entitaet_typ: str | None = None,
+    entitaet_id: str | None = None,
+    benutzer_id: int | None = None,
+    von: datetime | None = None,
+    bis: datetime | None = None,
+    limit: int = 100,
+    offset: int = 0,
+    db: AsyncSession = Depends(get_db),
+    _=Depends(_verantwortliche),
+) -> list[HistorieRead]:
+    """Materialänderungslog (Prompt 13): append-only Audit-Trail über Kontrolle,
+    Fehlbestand, Nachfüllung, Mindermenge. Neueste zuerst, Standard-Seitengröße
+    100 (openapi-Review-Fund: Listen-Endpunkte brauchen Pagination)."""
+    stmt = select(Historie, Benutzer.name).outerjoin(Benutzer, Benutzer.id == Historie.benutzer_id)
+    if entitaet_typ is not None:
+        stmt = stmt.where(Historie.entitaet_typ == entitaet_typ)
+    if entitaet_id is not None:
+        stmt = stmt.where(Historie.entitaet_id == entitaet_id)
+    if benutzer_id is not None:
+        stmt = stmt.where(Historie.benutzer_id == benutzer_id)
+    if von is not None:
+        stmt = stmt.where(Historie.zeitpunkt >= von)
+    if bis is not None:
+        stmt = stmt.where(Historie.zeitpunkt <= bis)
+    stmt = stmt.order_by(Historie.zeitpunkt.desc()).limit(min(limit, 500)).offset(offset)
+
+    result = await db.execute(stmt)
+    return [
+        HistorieRead(
+            id=eintrag.id,
+            zeitpunkt=eintrag.zeitpunkt,
+            benutzer_id=eintrag.benutzer_id,
+            benutzer_name=benutzer_name,
+            ereignistyp=eintrag.ereignistyp,
+            entitaet_typ=eintrag.entitaet_typ,
+            entitaet_id=eintrag.entitaet_id,
+            alter_wert=eintrag.alter_wert,
+            neuer_wert=eintrag.neuer_wert,
+            begruendung=eintrag.begruendung,
+        )
+        for eintrag, benutzer_name in result.all()
+    ]

backend/app/schemas/historie.py

@@ -0,0 +1,18 @@
+import uuid
+from datetime import datetime
+
+from pydantic import BaseModel, ConfigDict
+
+
+class HistorieRead(BaseModel):
+    model_config = ConfigDict(from_attributes=True)
+    id: uuid.UUID
+    zeitpunkt: datetime
+    benutzer_id: int | None
+    benutzer_name: str | None
+    ereignistyp: str
+    entitaet_typ: str
+    entitaet_id: str
+    alter_wert: dict | None
+    neuer_wert: dict | None
+    begruendung: str | None

backend/tests/test_historie.py

@@ -60,3 +60,40 @@ async def test_historie_kette_soll10_ist8_genehmigt_dann_nachgefuellt(
     # Reine Teilfolge-Prüfung (keine anderen Events dazwischen erwartet, aber falls
     # doch, ist die Reihenfolge der genannten Ereignisse das eigentlich Wichtige).
     assert ereignisse == erwartete_reihenfolge
+
+
+@pytest.mark.asyncio
+async def test_historie_endpunkt_liefert_gefiltert(
+    client, db_session, objekt_mit_position, mitarbeiter_user, materialverantwortlicher_user
+):
+    objekt, material = objekt_mit_position
+    mitarbeiter_token = await login(client, "mitarbeiter1")
+
+    start = await client.post(
+        f"/api/v1/objekte/{objekt.id}/kontrollen", json={"uebernehmen": False}, headers=auth_header(mitarbeiter_token)
+    )
+    kontrolle_id = start.json()["id"]
+    await client.put(
+        f"/api/v1/kontrollen/{kontrolle_id}/positionen/{material.id}",
+        json={"istmenge": "10"},
+        headers=auth_header(mitarbeiter_token),
+    )
+
+    verantwortlicher_token = await login(client, "materialverantwortlicher1")
+    response = await client.get(
+        "/api/v1/historie",
+        params={"entitaet_typ": "kontrolle", "entitaet_id": kontrolle_id},
+        headers=auth_header(verantwortlicher_token),
+    )
+    assert response.status_code == 200
+    body = response.json()
+    assert len(body) >= 1
+    assert all(e["entitaet_typ"] == "kontrolle" for e in body)
+    assert body[0]["benutzer_name"] == "Test Mitarbeiter"
+
+
+@pytest.mark.asyncio
+async def test_historie_mitarbeiter_ohne_zugriff(client, mitarbeiter_user):
+    token = await login(client, "mitarbeiter1")
+    response = await client.get("/api/v1/historie", headers=auth_header(token))
+    assert response.status_code == 403

frontend/src/api/types.ts

@@ -105,6 +105,19 @@ export interface Fach {
   sortierung: number;
 }
 
+export interface HistorieEintrag {
+  id: string;
+  zeitpunkt: string;
+  benutzer_id: number | null;
+  benutzer_name: string | null;
+  ereignistyp: string;
+  entitaet_typ: string;
+  entitaet_id: string;
+  alter_wert: Record<string, unknown> | null;
+  neuer_wert: Record<string, unknown> | null;
+  begruendung: string | null;
+}
+
 export interface Me {
   id: number;
   name: string;

frontend/src/pages/AdminPage.tsx

@@ -5,6 +5,7 @@ import type { Benutzer, Bereich, Beladungsvorlage, Fach, Kategorie, Material, Ob
 import { BenutzerSection } from "./admin/BenutzerSection";
 import { BereichSection } from "./admin/BereichSection";
 import { FachSection } from "./admin/FachSection";
+import { HistorieSection } from "./admin/HistorieSection";
 import { KategorieSection } from "./admin/KategorieSection";
 import { MaterialSection } from "./admin/MaterialSection";
 import { ObjektSection } from "./admin/ObjektSection";
@@ -12,7 +13,7 @@ import { ObjekttypSection } from "./admin/ObjekttypSection";
 import { StandortSection } from "./admin/StandortSection";
 import { VorlageSection } from "./admin/VorlageSection";
 
-type Tab = "objekte" | "vorlagen" | "material" | "struktur" | "standorte" | "benutzer";
+type Tab = "objekte" | "vorlagen" | "material" | "struktur" | "standorte" | "benutzer" | "historie";
 
 const TABS: { key: Tab; label: string }[] = [
   { key: "objekte", label: "Objekte" },
@@ -21,6 +22,7 @@ const TABS: { key: Tab; label: string }[] = [
   { key: "struktur", label: "Struktur" },
   { key: "standorte", label: "Standorte" },
   { key: "benutzer", label: "Benutzer" },
+  { key: "historie", label: "Änderungslog" },
 ];
 
 /**
@@ -153,6 +155,7 @@ export function AdminPage() {
       {tab === "benutzer" && (
         <BenutzerSection benutzer={benutzer} onGeaendert={ladeAlles} onFehler={setFehler} />
       )}
+      {tab === "historie" && <HistorieSection onFehler={setFehler} />}
     </main>
   );
 }

frontend/src/pages/admin/HistorieSection.tsx

@@ -0,0 +1,98 @@
+import { useEffect, useState } from "react";
+
+import { apiRequest } from "../../api/client";
+import type { HistorieEintrag } from "../../api/types";
+
+interface Props {
+  onFehler: (text: string) => void;
+}
+
+const ENTITAET_TYPEN = ["kontrolle", "fehlbestand", "nachfuellung", "mindermengen_genehmigung"] as const;
+
+function formatWert(wert: Record<string, unknown> | null): string {
+  if (!wert) return "–";
+  return Object.entries(wert)
+    .map(([k, v]) => `${k}: ${v}`)
+    .join(", ");
+}
+
+/** Materialänderungslog (Prompt 13): reine Anzeige des append-only Audit-Trails
+ * aus der historie-Tabelle - Kontrolle/Fehlbestand/Nachfüllung/Mindermenge. */
+export function HistorieSection({ onFehler }: Props) {
+  const [eintraege, setEintraege] = useState<HistorieEintrag[]>([]);
+  const [entitaetTyp, setEntitaetTyp] = useState("");
+  const [laedt, setLaedt] = useState(true);
+
+  async function laden() {
+    setLaedt(true);
+    try {
+      const query = entitaetTyp ? `?entitaet_typ=${entitaetTyp}` : "";
+      const daten = await apiRequest<HistorieEintrag[]>(`/historie${query}`);
+      setEintraege(daten);
+    } catch {
+      onFehler("Änderungslog konnte nicht geladen werden.");
+    } finally {
+      setLaedt(false);
+    }
+  }
+
+  useEffect(() => {
+    laden();
+    // eslint-disable-next-line react-hooks/exhaustive-deps
+  }, [entitaetTyp]);
+
+  return (
+    <section className="section">
+      <h2>Änderungslog</h2>
+      <div className="card">
+        <div className="field" style={{ maxWidth: "20rem" }}>
+          <label>Typ</label>
+          <select className="input" value={entitaetTyp} onChange={(e) => setEntitaetTyp(e.target.value)}>
+            <option value="">Alle</option>
+            {ENTITAET_TYPEN.map((t) => (
+              <option key={t} value={t}>
+                {t}
+              </option>
+            ))}
+          </select>
+        </div>
+
+        {laedt && <p className="text-muted">Lade…</p>}
+        {!laedt && eintraege.length === 0 && <p className="text-muted">Keine Einträge.</p>}
+
+        {!laedt && eintraege.length > 0 && (
+          <div style={{ overflowX: "auto" }}>
+            <table className="table">
+              <thead>
+                <tr>
+                  <th>Zeitpunkt</th>
+                  <th>Benutzer</th>
+                  <th>Ereignis</th>
+                  <th>Typ / ID</th>
+                  <th>Alter Wert</th>
+                  <th>Neuer Wert</th>
+                  <th>Begründung</th>
+                </tr>
+              </thead>
+              <tbody>
+                {eintraege.map((e) => (
+                  <tr key={e.id}>
+                    <td>{new Date(e.zeitpunkt).toLocaleString("de-DE")}</td>
+                    <td>{e.benutzer_name ?? "System"}</td>
+                    <td>{e.ereignistyp}</td>
+                    <td>
+                      {e.entitaet_typ} <span className="text-muted">({e.entitaet_id.slice(0, 8)})</span>
+                    </td>
+                    <td>{formatWert(e.alter_wert)}</td>
+                    <td>{formatWert(e.neuer_wert)}</td>
+                    <td>{e.begruendung ?? "–"}</td>
+                  </tr>
+                ))}
+              </tbody>
+            </table>
+          </div>
+        )}
+      </div>
+    </section>
+  );
+}

frontend/src/styles/global.css

@@ -345,3 +345,22 @@ select.input:focus {
   border-radius: 0.5rem;
   background: #000;
 }
+
+.table {
+  width: 100%;
+  border-collapse: collapse;
+  font-size: 0.85rem;
+}
+
+.table th,
+.table td {
+  text-align: left;
+  padding: 0.4rem 0.6rem;
+  border-bottom: 1px solid var(--color-border, #e2e8f0);
+  white-space: nowrap;
+}
+
+.table th {
+  font-weight: 600;
+  color: var(--color-text-muted, #64748b);
+}