Changes.md wiederhergestellt und aktualisiert

Changes.md

@@ -1,16 +1,45 @@
-# Änderungshistorie
+# Changelog
 
-## Unveröffentlicht
+---
 
-### Neu
+## 2026-03-25 – Session-Authentifizierung & Benutzerverwaltung
-- **Session-Authentifizierung** – HTTP Basic Auth durch cookie-basierte Session-Authentifizierung ersetzt; Sessions laufen nach 24 Stunden absolut ab (kein Sliding Expiry)
+
-- **Benutzerverwaltung** (`/useradmin`) – Benutzer anlegen, bearbeiten (Benutzername und Passwort), deaktivieren und löschen; Passwörter werden mit bcrypt gehasht gespeichert
+### Features
-- **Ersteinrichtungsflow** – beim ersten Start ohne Benutzer leitet die Anwendung auf `/login` weiter und ermöglicht dort das Anlegen des ersten Administrator-Accounts
+- **Session-Authentifizierung**: HTTP Basic Auth durch cookie-basierte Session-Authentifizierung ersetzt; Sessions laufen nach 24 Stunden absolut ab
+- **Benutzerverwaltung** (`/useradmin`): Benutzer anlegen, bearbeiten (Benutzername und Passwort), deaktivieren und löschen; Passwörter mit bcrypt gehasht
+- **Ersteinrichtungsflow**: Beim ersten Start ohne Benutzer ermöglicht `/login` das Anlegen des ersten Administrator-Accounts
 - **Abmelden-Button** in der Seitenleiste
 
 ### Geändert
-- `AUTH_USER` und `AUTH_PASS` entfernt – Zugangsdaten werden nun ausschließlich in der Datenbank verwaltet
+- `AUTH_USER` und `AUTH_PASS` entfernt – Zugangsdaten werden ausschließlich in der Datenbank verwaltet
-- Neue Datenbanktabelle `users` (Migration `005_users.sql`) erforderlich
+- Neue Datenbanktabelle `users` (Migration `005_users.sql`)
 
 ### Behoben
 - Fehler in `BelegController` behoben
+
+---
+
+## 2026-03-25 – Sicherheit, UX-Verbesserungen & Bugfixes
+
+### Sicherheit
+- **Timing-sicherer Login**: Passwort- und Benutzernamevergleich auf `hash_equals()` umgestellt (verhindert Timing-Angriffe)
+- **SVG-Upload gesperrt**: Logo-Upload akzeptiert nur noch PNG und JPEG – SVG wurde entfernt (XSS-Risiko)
+- **CSV-Injection-Schutz**: Felder im Buchungsjournal-CSV-Export werden gegen Formula-Injection (`=`, `+`, `-`, `@`) abgesichert
+
+### Features
+- **Inline-Editing**: Belegdatum und Rechnungsnr. können direkt in der Beleg-Detailansicht per Klick bearbeitet werden (kein Seitenreload)
+- **Belegart-Filter**: Neue Filteroption in der Belegliste zum Filtern nach Belegart (Eingangsrechnung, Ausgangsrechnung, Quittung etc.)
+- **Favicon & App-Icon**: Favicon für Browser-Tabs, Apple Touch Icon und Web-App-Manifest eingebunden
+
+### Robustheit
+- **Datenbankfehler-Handling**: PDO-Exceptions in Invoice-, Booking- und BelegController werden separat abgefangen und geloggt statt als generische Fehler zu erscheinen
+
+---
+
+## 2026-03-24 – Initiales Release
+
+### Features
+- **Basis-System**: MVC-Framework, Routing, Authentifizierung, Datenbank-Migrations-System
+- **Ausgangsrechnungen**: Erstellen, Verwalten und PDF-Export von Ausgangsrechnungen
+- **EÜR-Vorbereitung**: Einnahmen-Überschuss-Rechnung als PDF-Export
+- **UStVA-Vorbereitung**: Umsatzsteuer-Voranmeldung inkl. XML-Export für elster.de