feat: Geräte-TTS, native Stimmen, Favicon, Auth-Gate, UI-Fixes

Web-UI / TTS:
- Geräte-TTS ("📱 Gerät"): Antwort wird on-device vorgelesen (Web Speech
  API), Server sendet nur Text (text_only) -> spart Bandbreite/Kosten.
  Mobil-Default, geräte-lokale Speicherung, iOS-Autoplay-Freischaltung.
- Vorlese-Symbol (🔊) je Bubble: Hybrid-Replay (Assistent-PCM gecacht,
  Eingabe via /api/speak); SVG-Icon mit kontrastreicher Farbe.
- Kombiniertes Sprachmenü (Flex + feste Sprachen) statt separatem Modus-Menü.
- "Neues Gespräch"-Button (frische Session gegen Sprach-Trägheit).
- Dark-Mode: lesbare <option>-Popups (Kontrast-Fix).
- Favicon (SVG + PNG-Fallbacks) aus mund.png.

TTS-Backend:
- Sprache wird an alle TTS-Provider durchgereicht; Piper-Stimme folgt der
  Sprache; Chatterbox mehrsprachig + cross-lingual.
- Native Referenz-Stimmen je Sprache (config/voices/<lang>.wav, FLEURS CC-BY),
  loudness-normalisiert.

LLM-Sprache:
- Antwort folgt zuverlässig der gewählten Sprache (verstärkte Anweisung +
  Erinnerung an der letzten Nutzer-Nachricht gegen History-Trägheit).

Admin / Auth:
- Wörterbuch: alle 8 Sprachen, Zeilen editierbar, alphabetische Sortierung.
- Web-UI hinter Auth-Gate (Redirect auf SSO_LOGIN_URL / 401); Favicons offen.
- Log-Tab: Hinweis, wenn der systemd-Dienst nicht aktiv ist.
- Einstellungen: Hinweis "pro Nutzer überschreibbar" bei Sprache/Modus/Qualität.

Doku (BEDIENUNGSANLEITUNG.md): Geräte-TTS §6.5.0, Fix/Flex §6.6, native
Stimmen §6.5.3, llama.cpp<->Ollama-Wechsel §4.7, Auth/SSO §7.4.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

app/main.py

@@ -5,7 +5,10 @@ from pathlib import Path
 
 from fastapi import FastAPI, Request
 from fastapi.staticfiles import StaticFiles
+from starlette.responses import RedirectResponse, JSONResponse
 
+from app.config import settings
+from app.auth import authenticate, _bearer_token
 from app.core.warmup import warmup_local_models
 from app.metrics import metrics
 from app.api.health import router as health_router
@@ -48,6 +51,32 @@ async def record_metrics(request: Request, call_next):
     return response
 
 
+# Pfade mit eigener Auth, Health-Checks und Favicons: nicht gaten.
+_PUBLIC_PREFIXES = ("/api", "/ws", "/health", "/favicon", "/apple-touch-icon")
+
+
+@app.middleware("http")
+async def gate_web_ui(request: Request, call_next):
+    """Schuetzt die statische Web-UI: unauthentifizierte Seitenaufrufe -> SSO-Login (sonst 401).
+
+    Defense-in-Depth zusaetzlich zu SSOwat: Selbst wenn der Reverse-Proxy einen
+    unauthentifizierten Request durchliesse (oder jemand den Port direkt trifft),
+    bekommt er die Seite nicht ausgeliefert. API/WS haben ihre eigene Auth (require_user
+    -> 401/JSON), Health-Checks bleiben offen. Bei abgeschalteter Auth (LAN-Dev) liefert
+    authenticate() einen anonymen Nutzer -> die Seite wird wie bisher ausgeliefert.
+    """
+    path = request.url.path
+    if not path.startswith(_PUBLIC_PREFIXES):
+        client_host = request.client.host if request.client else ""
+        token = _bearer_token(request.headers.get("authorization"))
+        if authenticate(request.headers, client_host, token) is None:
+            login = settings.sso_login_url.strip()
+            if login:
+                return RedirectResponse(login, status_code=302)
+            return JSONResponse({"detail": "Authentication required"}, status_code=401)
+    return await call_next(request)
+
+
 app.include_router(health_router)
 app.include_router(chat_router, prefix="/api")
 app.include_router(transcribe_router, prefix="/api")