feat(admin): Audit-Logging schreibender Admin-Aktionen — Plan-Schritt 5

- app/audit.py: eigener Logger "va.audit" (eigener stdout-Handler -> Journal/Log-Tab).
  log_admin_action() protokolliert Aktion + Auslöser (SSO-Name oder admin-key).
- Verdrahtet in: config_set/config_reset (PUT/DELETE /admin/config),
  llm_backend_switch (+ _rejected), gateway_restart.
- Tests: caplog prüft Audit-Zeilen für config_set und abgelehnten Backend-Switch.
- Doku §7.5: Audit-Format im Log-Tab.

Schließt den Plan (Admin-gesteuerte LLM-/Gateway-Verwaltung, Schritte 1–5) ab. 167 grün.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

BEDIENUNGSANLEITUNG.md

@@ -1805,6 +1805,20 @@ Zeigt den systemd-Journal-Log des `voice-assistant.service` live im Browser:
 
 Der Log hilft, Fehler zu diagnostizieren ohne SSH-Zugang.
 
+**Audit:** Schreibende Admin-Aktionen werden mit Auslöser protokolliert und erscheinen
+hier live, z. B.:
+```
+ADMIN action=config_set user=dschlueter key='local_llm_top_p' value='0.7'
+ADMIN action=llm_backend_switch user=dschlueter backend='ollama' model='gemma3:latest'
+ADMIN action=gateway_restart user=admin-key
+```
+Protokolliert werden u. a. `config_set` / `config_reset` (Laufzeit-Einstellungen),
+`llm_backend_switch` (+ `_rejected` bei Allowlist-Verstoß) und `gateway_restart`.
+`user` ist der SSO-Name bzw. `admin-key` bei Zugriff per `ADMIN_API_KEY`.
+
+> Sichtbar im Log-Tab nur im **Dienst-Betrieb** (Journal). Im Vordergrund-Betrieb
+> (`make run`) erscheinen die Audit-Zeilen im Terminal.
+
 ---
 
 ## 8. Gedächtnis und Erinnerungen