feat: Geräte-TTS, native Stimmen, Favicon, Auth-Gate, UI-Fixes

Web-UI / TTS:
- Geräte-TTS ("📱 Gerät"): Antwort wird on-device vorgelesen (Web Speech
  API), Server sendet nur Text (text_only) -> spart Bandbreite/Kosten.
  Mobil-Default, geräte-lokale Speicherung, iOS-Autoplay-Freischaltung.
- Vorlese-Symbol (🔊) je Bubble: Hybrid-Replay (Assistent-PCM gecacht,
  Eingabe via /api/speak); SVG-Icon mit kontrastreicher Farbe.
- Kombiniertes Sprachmenü (Flex + feste Sprachen) statt separatem Modus-Menü.
- "Neues Gespräch"-Button (frische Session gegen Sprach-Trägheit).
- Dark-Mode: lesbare <option>-Popups (Kontrast-Fix).
- Favicon (SVG + PNG-Fallbacks) aus mund.png.

TTS-Backend:
- Sprache wird an alle TTS-Provider durchgereicht; Piper-Stimme folgt der
  Sprache; Chatterbox mehrsprachig + cross-lingual.
- Native Referenz-Stimmen je Sprache (config/voices/<lang>.wav, FLEURS CC-BY),
  loudness-normalisiert.

LLM-Sprache:
- Antwort folgt zuverlässig der gewählten Sprache (verstärkte Anweisung +
  Erinnerung an der letzten Nutzer-Nachricht gegen History-Trägheit).

Admin / Auth:
- Wörterbuch: alle 8 Sprachen, Zeilen editierbar, alphabetische Sortierung.
- Web-UI hinter Auth-Gate (Redirect auf SSO_LOGIN_URL / 401); Favicons offen.
- Log-Tab: Hinweis, wenn der systemd-Dienst nicht aktiv ist.
- Einstellungen: Hinweis "pro Nutzer überschreibbar" bei Sprache/Modus/Qualität.

Doku (BEDIENUNGSANLEITUNG.md): Geräte-TTS §6.5.0, Fix/Flex §6.6, native
Stimmen §6.5.3, llama.cpp<->Ollama-Wechsel §4.7, Auth/SSO §7.4.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

app/config.py

@@ -112,6 +112,7 @@ class Settings(BaseSettings):
     openrouter_tts_voice: str = "alloy"
     openrouter_llm_model: str = "openai/gpt-4.1-mini"
     default_language: str = "de"
+    default_language_mode: str = "fix"
     default_input_endpoint: str = "local-default"
     default_output_endpoint: str = "local-default"
     default_stt_provider: str = "openrouter"
@@ -144,6 +145,9 @@ class Settings(BaseSettings):
     chatterbox_lang: str = "de"
     chatterbox_speed: float = 1.0
     chatterbox_timeout: int = 180
+    # Verzeichnis mit nativen Referenz-WAVs je Sprache (Konvention <lang>.wav, z. B. fr.wav).
+    # Greift cross-lingual: pro Sprache eine muttersprachliche Stimme. Leer -> nur chatterbox_voice.
+    chatterbox_voices_dir: str = str(BASE_DIR / "config" / "voices")
     db_path: str = str(BASE_DIR / "data" / "voice-assistant.db")
     admin_api_key: str = ""
     auth_enabled: bool = True
@@ -161,6 +165,9 @@ class Settings(BaseSettings):
     trusted_proxy_ips: str = ""        # kommasepariert; IP(s) des Reverse-Proxys
     admin_users: str = ""             # kommaseparierte SSO-Usernamen mit Admin-Rechten
     sso_logout_url: str = ""          # Logout-Link fuers Frontend (SSO-Portal)
+    # Login-/Portal-URL: unauthentifizierte Seitenaufrufe werden hierhin umgeleitet
+    # (Defense-in-Depth zusaetzlich zu SSOwat). Leer -> stattdessen HTTP 401.
+    sso_login_url: str = ""
     history_max_messages: int = 10
     # Automatische Erinnerungs-Extraktion: das LLM destilliert dauerhafte Fakten
     # aus dem Gespraech und legt sie als Nutzer-Erinnerungen ab (best-effort,