feat: Geräte-TTS, native Stimmen, Favicon, Auth-Gate, UI-Fixes

Web-UI / TTS:
- Geräte-TTS ("📱 Gerät"): Antwort wird on-device vorgelesen (Web Speech
  API), Server sendet nur Text (text_only) -> spart Bandbreite/Kosten.
  Mobil-Default, geräte-lokale Speicherung, iOS-Autoplay-Freischaltung.
- Vorlese-Symbol (🔊) je Bubble: Hybrid-Replay (Assistent-PCM gecacht,
  Eingabe via /api/speak); SVG-Icon mit kontrastreicher Farbe.
- Kombiniertes Sprachmenü (Flex + feste Sprachen) statt separatem Modus-Menü.
- "Neues Gespräch"-Button (frische Session gegen Sprach-Trägheit).
- Dark-Mode: lesbare <option>-Popups (Kontrast-Fix).
- Favicon (SVG + PNG-Fallbacks) aus mund.png.

TTS-Backend:
- Sprache wird an alle TTS-Provider durchgereicht; Piper-Stimme folgt der
  Sprache; Chatterbox mehrsprachig + cross-lingual.
- Native Referenz-Stimmen je Sprache (config/voices/<lang>.wav, FLEURS CC-BY),
  loudness-normalisiert.

LLM-Sprache:
- Antwort folgt zuverlässig der gewählten Sprache (verstärkte Anweisung +
  Erinnerung an der letzten Nutzer-Nachricht gegen History-Trägheit).

Admin / Auth:
- Wörterbuch: alle 8 Sprachen, Zeilen editierbar, alphabetische Sortierung.
- Web-UI hinter Auth-Gate (Redirect auf SSO_LOGIN_URL / 401); Favicons offen.
- Log-Tab: Hinweis, wenn der systemd-Dienst nicht aktiv ist.
- Einstellungen: Hinweis "pro Nutzer überschreibbar" bei Sprache/Modus/Qualität.

Doku (BEDIENUNGSANLEITUNG.md): Geräte-TTS §6.5.0, Fix/Flex §6.6, native
Stimmen §6.5.3, llama.cpp<->Ollama-Wechsel §4.7, Auth/SSO §7.4.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

app/api/admin.py

@@ -16,7 +16,7 @@ router = APIRouter()
 
 _CONFIG_DIR = Path(__file__).resolve().parents[2] / "config"
 _ALLOWED_SECTIONS = {"abbreviations", "units", "terms"}
-_ALLOWED_LANGS = {"de", "en"}
+_ALLOWED_LANGS = {"de", "en", "fr", "es", "it", "nl", "ru", "zh"}
 
 
 class PronunciationEntry(BaseModel):
@@ -231,6 +231,10 @@ async def add_pronunciation(lang: str, entry: PronunciationEntry):
         raise HTTPException(status_code=422, detail="key und value duerfen nicht leer sein.")
     data = _read_pronunciation(lang)
     data[entry.section][entry.key.strip()] = entry.value.strip()
+    # Nach jedem Einfügen: Sektion alphabetisch aufsteigend nach Schlüssel sortieren.
+    data[entry.section] = dict(
+        sorted(data[entry.section].items(), key=lambda kv: kv[0].lower())
+    )
     _write_pronunciation(lang, data)
     return {"section": entry.section, "key": entry.key.strip(), "value": entry.value.strip()}
 
@@ -314,6 +318,26 @@ async def admin_log_ws(websocket: WebSocket, key: str | None = None):
         return
 
     await websocket.accept()
+
+    # Hinweis, falls die laufende Instanz NICHT der systemd-Dienst ist (z. B. manueller
+    # `uvicorn --reload`-Start). Dann hat das Journal dieser Unit keine aktuellen Zeilen,
+    # und der Log-Tab bliebe sonst kommentarlos leer.
+    try:
+        check = await asyncio.create_subprocess_exec(
+            "systemctl", "--user", "is-active", "voice-assistant.service",
+            stdout=asyncio.subprocess.PIPE, stderr=asyncio.subprocess.DEVNULL,
+        )
+        out, _ = await check.communicate()
+        if out.decode().strip() != "active":
+            await websocket.send_text(
+                "⚠ Der systemd-Dienst 'voice-assistant.service' ist nicht aktiv — "
+                "die laufende Instanz wurde vermutlich manuell gestartet (uvicorn --reload). "
+                "Live-Logs erscheinen hier nur, wenn das Gateway als Dienst läuft "
+                "(systemctl --user start voice-assistant.service). Manuelle Starts loggen ins Terminal."
+            )
+    except Exception:
+        pass
+
     proc = await asyncio.create_subprocess_exec(
         "journalctl", "--user", "-f", "-u", "voice-assistant.service",
         "-n", "100", "--no-pager", "-o", "short",