feat: Cloud-Fundament - Auth, Persistenz und Mandanten-Trennung

- SQLite-Store (app/store.py) hinter Store-Interface: Nutzer + Sessions persistent
- Bearer-Token-Auth (app/auth.py); Nutzerverwaltung via Admin-Key (POST /api/admin/users)
- GET /api/me, PUT /api/me/prefs (dauerhafte Nutzer-Praeferenzen)
- chat/speak/transcribe/sessions auth-geschuetzt; Mandanten-Trennung (fremde Session -> 403)
- Route-Aufloesung: Defaults < Profil < ENV < Nutzer-Prefs < Session < Request
- SessionManager (in-memory) durch Store ersetzt
- AUTH_ENABLED-Schalter (prod an, dev/Tests aus); DB_PATH/ADMIN_API_KEY
- Doku aktualisiert (README, BEDIENUNGSANLEITUNG, Architektur, deploy-env); data/ gitignored
- Tests: 29 gruen (Auth, Mandanten, Persistenz, Routing)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

Docs/voice-assistant-architecture.md

@@ -38,7 +38,7 @@ einstellbar; höhere Ebene gewinnt:
 
 ```
 eingebaute Defaults  <  config/voice-assistant.toml (inkl. aktivem Profil)
-                     <  ENV / .env  <  Session-Route  <  Request
+                     <  ENV / .env  <  Nutzer-Prefs  <  Session-Route  <  Request
 ```
 
 ### 3.1 Zentrale Config + Profile
@@ -64,9 +64,10 @@ werden aus echter Umgebung **oder** `.env` gelesen.
 ### 3.2 Einheitliche Route-Auflösung
 
 `app/dependencies.py` löst pro Aufruf eine `ResolvedRoute` auf
-(`resolve_route(session_id, overrides)`): Defaults < Session-Route < Request.
-Die Route umfasst `input_endpoint`, `output_endpoint`, `stt_provider`,
-`llm_provider`, `tts_provider`, `language`.
+(`resolve_route(user, session_id, overrides)`): Defaults < Nutzer-Prefs <
+Session-Route < Request. Die Route umfasst `input_endpoint`, `output_endpoint`,
+`stt_provider`, `llm_provider`, `tts_provider`, `language`. Gehört eine Session
+einem anderen Nutzer, wird `SessionOwnershipError` (→ 403) ausgelöst.
 
 ### 3.3 Registry-Pattern (Provider austauschbar)
 
@@ -162,6 +163,8 @@ ein No-op; `LoopbackOutput` sammelt die Chunks (testbar ohne Hardware).
 | `GET  /api/devices`                  | verfügbare Audio-Endpunkte + Capabilities |
 | `POST /api/sessions/{id}/route`      | bevorzugte Geräte/Provider/Sprache je Session |
 | `GET  /api/config`                   | aktives Profil + aufgelöste Route (ohne Secrets) |
+| `POST /api/admin/users`              | Nutzer anlegen (Admin-Key) → Token einmalig |
+| `GET  /api/me` · `PUT /api/me/prefs` | aktueller Nutzer + dauerhafte Präferenzen |
 
 Endpunkt-/Provider-Auswahl ist über **Request-Body** (pro Aufruf), **Session**
 (`?session_id=…`) und **Defaults/Profil** steuerbar. Verwendete Route erscheint als
@@ -172,7 +175,9 @@ Endpunkt-/Provider-Auswahl ist über **Request-Body** (pro Aufruf), **Session**
 **Umgesetzt:** FastAPI-Gateway, alle o. g. REST-Endpunkte; OpenRouter-Adapter für
 STT (multipart), LLM und TTS; lokaler OpenAI-kompatibler LLM-Adapter; regelbasierte
 Pipeline; geschichtete Config + Profile; Registry + einheitliche Route-Auflösung;
-Device Router (strikt, Singleton); Output-Lifecycle; 22 automatisierte Tests.
+Device Router (strikt, Singleton); Output-Lifecycle; **Authentifizierung
+(Bearer-Token) + persistenter SQLite-Store für Nutzer/Sessions + Mandanten-Trennung
++ dauerhafte Nutzer-Präferenzen**; automatisierte Tests.
 
 **Platzhalter (Gerüst):** Audio-Endpunkte (`local-default`, `bluetooth`,
 `mobile-ws`, `mobile-webrtc`) liefern leere Chunks — nur Auswahl/Lifecycle sind
@@ -185,8 +190,8 @@ nicht aktiv (lokal/remote trägt vorerst der Provider-Name).
 Reihenfolge der Weiterentwicklung:
 
 1. **(erledigt)** Konfig- & Routing-Fundament: Profile, Device Router, Registry, Pro-Request-Override.
-2. **Cloud-Fundament:** Authentifizierung + Mehrbenutzer + persistenter Session-/Profil-Store (heute ist `SessionManager` in-memory → nicht skalierend, ohne Auth).
-3. **Konversationsgedächtnis:** Verlauf + Langzeit-Präferenzen (heute ist `llm.complete` zustandslos).
+2. **(erledigt)** Cloud-Fundament: Bearer-Token-Auth, Mehrbenutzer, persistenter SQLite-Store, Mandanten-Trennung, dauerhafte Nutzer-Präferenzen. Offen: Skalierung auf gemeinsamen Store (Postgres/Redis) für mehrere Instanzen.
+3. **Konversationsgedächtnis:** Verlauf + Langzeit-Erinnerungen (heute ist `llm.complete` zustandslos; Nutzer-Präferenzen sind als Basis vorhanden).
 4. **Echtzeit:** Streaming-STT/TTS, WebSocket/WebRTC-Endpunkte real, Barge-in, Turn-Manager.
 5. **Resilienz:** Fallback-Policy (remote KI fällt aus → lokaler/alternativer Provider), Metriken/Tracing.
 6. **Betrieb:** Kosten-/Quota-Kontrolle pro Nutzer; Notfall-/Eskalationskonzept (Senioren-Kontext).
@@ -203,15 +208,18 @@ voice-assistant-scaffold/
 ├── app/
 │   ├── main.py            # FastAPI-App + Router-Registrierung
 │   ├── config.py          # Settings, TOML-Profile, Präzedenz
-│   ├── dependencies.py    # Registries, ResolvedRoute, resolve_route, Singleton-Router
+│   ├── dependencies.py    # Registries, ResolvedRoute, resolve_route, Store-/Router-Singleton
+│   ├── store.py           # Persistenz: Store-Interface + SQLiteStore (Nutzer/Sessions)
+│   ├── auth.py            # Bearer-Token-Auth (require_user) + Admin-Schutz
 │   ├── errors.py          # RoutingError -> HTTP 422
 │   ├── schemas.py         # Pydantic-Modelle
-│   ├── api/               # health, chat, speak, transcribe, devices, sessions, config
-│   ├── core/              # orchestrator, session_manager
+│   ├── api/               # health, chat, speak, transcribe, devices, sessions, config, admin, me
+│   ├── core/              # orchestrator
 │   ├── audio/             # router, transport_router, endpoints/input|output/*
 │   ├── pipeline/          # input_cleaner, spoken_response_adapter, tts_normalizer
 │   └── providers/         # stt/ llm/ tts/  (openrouter + lokale Stubs)
 ├── config/                # voice-assistant.example.toml (+ lokale .toml, gitignored)
+├── data/                  # SQLite-DB (gitignored)
 ├── deploy/                # systemd unit + env-Beispiel
 ├── tests/                 # config-profile, routing, audio-router, e2e
 ├── Docs/                  # dieses Dokument