Workstream 1: Projekt-Fundament & Design-System (Phase 0)

Greenfield-Next.js-15-App-Router-Gerüst (TS strict) mit:
- Route-Groups (auth)/(app) inkl. loading/error/not-found je Group;
  Guard-Slot-Kommentar im (app)/layout.tsx (vom Auth-WS zu füllen).
- "Amtlich"/Netzknoten-Designsystem: Tailwind-Tokens (Navy #1B3A5B,
  Signalrot #E2231A, Anthrazit, Nebelgrau, bereit/Wartung), tabular-nums,
  Serif-Display/Inter-Sans via CSS-Variablen, Inline-SVG-Logo.
- Radix-Basiskomponenten (button/input/label/badge/tabs/dialog/select/
  switch/slider); StatusBadge entspricht asset_status.
- Kanonisches src/lib/env.ts (Zod, Fail-Fast) mit ALLEN DB-/Auth-/Geo-Slots
  inkl. AUTH_URL; isHttps-Ableitung. Zentrale i18n-Tabelle de.ts + t().
- Drizzle-Setup: client.ts (Pool-Singleton), leeres schema/index.ts-Barrel
  (KEIN Migrations-Eigentümer), drizzle.config.ts, .env.example.
- next.config.ts: output:standalone, experimental.authInterrupts,
  Security-Header. Vitest + Fail-Fast-Env-Test (TDD, 5/5 grün).

Bewusst KEINE Auth-Logik und KEINE fachlichen Tabellen.

Verifikation: typecheck/lint/test grün; npm run build erzeugt
.next/standalone/server.js; curl /anmelden -> lang="de" + FlorianNetz.
next/font/google durch CSS-Variablen ersetzt (air-gapped-Build).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.env.example

@@ -0,0 +1,25 @@
+# FlorianNetz — Umgebungsvariablen (Beispiel; KEINE echten Geheimnisse committen)
+
+# Node
+NODE_ENV=development
+
+# Datenbank (Postgres)
+DATABASE_URL=postgres://floriannetz:floriannetz@localhost:5432/floriannetz
+
+# Auth.js / NextAuth
+# AUTH_SECRET muss >= 32 Zeichen sein (z. B. `openssl rand -base64 32`)
+AUTH_SECRET=bitte-mindestens-32-zeichen-langes-geheimnis-setzen
+# AUTH_URL bestimmt Cookie-secure: http:// = lokal (unsicher), https:// = Produktion
+AUTH_URL=http://localhost:3000
+AUTH_TRUST_HOST=true
+
+# Authentik (OIDC-Provider)
+AUTHENTIK_ISSUER=http://localhost:9000/application/o/floriannetz/
+AUTHENTIK_CLIENT_ID=floriannetz
+AUTHENTIK_CLIENT_SECRET=bitte-setzen
+
+# Geo (interne Dienste; Defaults zeigen auf Docker-Compose-Hostnamen)
+OSRM_URL=http://osrm:5000
+NOMINATIM_URL=http://nominatim:8080
+GEO_HTTP_TIMEOUT_MS=4000
+HAVERSINE_KMH=50