leocrm/quality-gate-phase2.md

LeoCRM — Quality Gate Phase 2 (Architecture) Review

Reviewer: Quality Reviewer (Agent Zero) Datum: 2026-06-28 Phase: Phase 2 — Architecture + Task Graph + AGENTS.md Verdict: ❌ BLOCKED — 3 Critical Issues, 5 Major Issues

---

Prüfkriterien-Übersicht

#	Kriterium	Ergebnis	Severity
1	Architecture.md deckt alle 10 Bereiche ab	✅ PASS	—
2	Task Graph: 6-8 substantielle Tasks	✅ PASS	—
3	143/143 Features abgedeckt	❌ FAIL	CRITICAL
4	AGENTS.md: Commands, Forbidden Patterns, Task-Zuweisung	✅ PASS	—
5	Keine Widersprüche arch.md ↔ requirements.md	⚠️ PARTIAL	MAJOR
6	Keine Widersprüche task_graph.json ↔ arch.md	⚠️ PARTIAL	MINOR
7	Multi-Tenant (tenant_id) konsistent	✅ PASS	—
8	Plugin-System als v1-Core-Feature	✅ PASS	—
9	PostgreSQL 16, React 18 SPA, FastAPI	✅ PASS	—
10	Session-based Auth + API-Token separat	⚠️ PARTIAL	CRITICAL

Gesamt: 6 PASS, 2 PARTIAL, 1 FAIL, 1 CRITICAL PARTIAL → BLOCKED

---

Detaillierte Befunde

✅ Kriterium 1: Architecture.md — 10 Bereiche (PASS)

Alle 10 Bereiche sind vorhanden und substantiell ausgearbeitet:

Bereich	Section	Zeilen	Status
System Architecture	§1	1-131	✅ Vollständig (Diagramm, Services, Backend/Frontend Struktur)
DB Schema	§2	134-725	✅ Vollständig (Core + Plugin Tables, FTS)
API Design	§3	728-967	✅ Vollständig (alle Endpoints mit Feature-IDs)
Plugin Architecture	§4	970-1078	✅ Vollständig (Manifest, Lifecycle, Event Bus, DI, UI Framework)
Multi-Tenant	§5	1081-1106	✅ Vollständig (Session Context, ORM Auto-Filter, TenantMixin)
Auth	§6	1108-1171	✅ Vollständig (Session, RBAC, API Tokens, CSRF, Password Reset)
Frontend	§7	1174-1244	✅ Vollständig (Stack, Routing, State, i18n, A11Y, Design System)
Deployment	§8	1247-1343	✅ Vollständig (Docker Compose, .env, Backup)
Test Strategy	§9	1345-1386	✅ Vollständig (Backend, Frontend, E2E)
ADRs	§10	1389-1450	✅ Vollständig (6 ADRs mit Context/Decision/Rationale/Alternatives)

---

✅ Kriterium 2: Task Graph — 8 substantielle Tasks (PASS)

Task	Titel	Est. Lines	Dependencies	Test Spec	Acceptance Criteria
T01	Core Infrastructure + Multi-Tenant + Auth	500	—	✅ 3 commands	✅ 25 criteria
T02	Company + Contact + Import/Export	600	T01	✅ 3 commands	✅ 24 criteria
T03	Plugin System Framework	500	T01	✅ 3 commands	✅ 14 criteria
T04	DMS Plugin + Tags Plugin	700	T01, T03	✅ 4 commands	✅ 32 criteria
T05	Calendar Plugin	700	T01, T03	✅ 3 commands	✅ 29 criteria
T06	Mail Plugin	800	T01, T03	✅ 3 commands	✅ 27 criteria
T07	Frontend Core SPA	600	T01, T02	✅ 4 commands	✅ 31 criteria
T08	Frontend Plugins + Search + Deployment	700	T03-T07	✅ 6 commands	✅ 42 criteria

• Alle Tasks im 200-800 Zeilen-Bereich ✅
• Jeder Task hat test_spec mit commands, test_files, coverage_target ✅
• Jeder Task hat substantielle acceptance_criteria ✅
• 5-Phasen-Execution-Plan mit Parallelisierung ✅
• Keine Micro-Tasks ✅

---

❌ Kriterium 3: Feature Coverage 143/143 (FAIL — CRITICAL)

Cross-Check-Ergebnis (programmatisch durchgeführt):

• Requirements.md: 143 eindeutige Feature-IDs
• Task Graph: 114 eindeutige Feature-IDs in requirement_ids arrays
• Fehlend: 30 Features in requirements.md aber NICHT in task_graph.json
• Phantom: 1 Feature in task_graph.json aber NICHT in requirements.md (F-CONT-08)

Klassifikation der 30 fehlenden Features:

Kategorie A: v2-Scope (6 Features — legitimerweise ausgeschlossen)

Feature	Beschreibung	Tag
F-FILE-01	Datei-Explorer	[v2-Plugin]
F-FILE-02	Datei-Sharing	[v2-Plugin]
F-FILE-03	PDF-Preview	[v2-Plugin]
F-FILE-04	OnlyOffice-Integration	[v2-Plugin]
F-FILEUI-05	Upload-Progress-Anzeige	[v2-Plugin]
F-FILEUI-06	Drag & Drop zwischen Ordnern	[v2-Plugin]

→ Diese 6 Features sind als [v2-Plugin] markiert und korrekterweise nicht in v1-Tasks enthalten. Funktionalität ist teilweise durch F-DMS-XX und F-FILEUI-01-04 abgedeckt.

Kategorie B: Implizit abgedeckt, aber Feature-ID fehlt in task_graph (19 Features — Traceability-Gap)

Feature	Beschreibung	Implizit gedeckt durch	Severity
F-DATA-03	Daten-Validierung	Pydantic schemas in allen Tasks	MAJOR
F-DATA-04	PostgreSQL als Datenbank	ADR-01, gesamte DB Schema	MAJOR
F-DATA-06	ARIA-Rollen auf DataTable	F-A11Y-01/02/03 in T07	MAJOR
F-ENV-01	Environments & Secrets	.env.example in Architecture §8	MAJOR
F-INFRA-02	Backup & Restore	Architecture §8 Backup section	MAJOR
F-INFRA-03	Logging	LOG_LEVEL in .env.example	MAJOR
F-NAV-01	Navigation Sidebar	T07 Layout Shell (Sidebar)	MAJOR
F-SCHED-01	Background-Jobs	T01 ARQ Job Queue	MAJOR
F-SEC-02	XSS-Schutz & Input-Sanitization	DOMPurify, Pydantic validation	MAJOR
F-SEC-03	Session-Timeout	T01 Auth (8h timeout)	MAJOR
F-SET-01	Einstellungen als Baum-Menü	T07 Settings Feature (SettingsTree)	MAJOR
F-TEST-01	Testing-Strategie	Architecture §9 + AGENTS.md	MAJOR
F-UI-01	Responsive Design	T07 Tailwind responsive breakpoints	MAJOR
F-UI-02	Internationalisierung	T07 i18n setup (de/en)	MAJOR
F-UI-03	Error-Handling & Toast	T07 Toast component	MAJOR
F-UI-04	Loading-States	T07 Skeleton component	MAJOR
F-UI-05	Empty-States	T07 EmptyState component	MAJOR
F-UI-06	Confirmation-Dialogs	T07 ConfirmDialog	MAJOR
F-UI-08	Datenansichten Tabelle/Karten/Liste	T07 TanStack Table	MAJOR

→ Diese 19 Features sind funktional durch die Tasks abgedeckt, aber ihre Feature-IDs sind NICHT in den requirement_ids Arrays der Tasks gelistet. Die Traceability ist broken. Jede Anforderung muss explizit einem Task zugeordnet sein.

Kategorie C: Völlig unabgedeckt — v1 Features ohne Task und ohne Architecture (5 Features — CRITICAL)

Feature	Beschreibung	Status	Severity
F-AI-01	KI-Copilot mit voller API-Kontrolle [v1]	❌ KEIN Task, KEINE Architecture	CRITICAL
F-WF-01	Hybrid-Workflow-Engine [v1]	❌ KEIN Task, KEINE Architecture	CRITICAL
F-DOC-01	Dokumentation [v1]	❌ KEIN Task	MAJOR
F-INFRA-04	Monitoring & Alerting [v1]	❌ Nicht abgedeckt	MAJOR
F-PERF-01	Performance [v1]	❌ Nicht abgedeckt	MAJOR

Detailanalyse F-AI-01 (KI-Copilot):

• Requirements sagen: "KI-Copilot von Anfang an einplanen" + "Architektur muss KI-Integration von vornherein unterstützen"
• Architecture.md erwähnt nur API-First-Design (F-CORE-06), aber hat KEINE Sektion für KI-Integration
• Task Graph hat keinen Task für KI-Copilot
• Der Copilot benötigt API-Zugriff mit RBAC-Respektierung — die API existiert, aber kein Task implementiert die Copilot-Integration
• Erforderliche Aktion: Architektur um KI-Integration-Sektion erweitern + Task für KI-Copilot API-Endpunkt hinzufügen (oder als Teil von T01/T02 als API-First-Design-Nachweis)

Detailanalyse F-WF-01 (Hybrid-Workflow-Engine):

• Requirements sagen: "Hybrid-Ansatz: Code-Engine für Kern-Workflows + konfigurierbare Workflow-Regeln"
• Architecture.md hat Event Bus, aber keine Workflow-Engine
• Task Graph hat keinen Task für Workflow-Engine
• Erforderliche Aktion: Architektur um Workflow-Engine-Sektion erweitern + Task hinzufügen (oder bestehenden Task erweitern)

Phantom Feature

Feature	In task_graph	In requirements.md	Issue
F-CONT-08	✅ T02 requirement_ids	❌ Nicht vorhanden	Phantom — vermutlich GDPR-Delete für Contacts, das eigentlich F-COMP-08 ist (bereits gelistet)

---

✅ Kriterium 4: AGENTS.md (PASS)

Build/Test Commands:

• Backend: venv setup, uvicorn, alembic, pytest, pytest-cov, mypy, ruff ✅
• Frontend: npm install, dev, build, vitest, tsc, eslint ✅
• Docker Compose: build, up, logs, down, config validate ✅
• E2E: Playwright install + test ✅

Forbidden Patterns:

• Backend: 14 Forbidden Patterns (SQLite, Jinja2, Cross-Tenant, Plaintext Passwords, JWT, Naive Datetime, Integer IDs, Hard-Delete ohne GDPR, Manual Tenant Filter, Sync I/O, Raw SQL, Secrets in Code, Unvalidated Input, Missing Audit Log, Plugin Tables ohne tenant_id) ✅
• Frontend: 10 Forbidden Patterns (Class Components, Inline Styles, Hardcoded Strings, Manual Fetch, Server Data in Zustand, any Types, Missing ARIA, Touch Targets <44px, Direct DOM, Unsafe HTML) ✅
• Deployment: 5 Forbidden Patterns (Root in Container, Exposed DB Port, No Health Check, No Volume, Secrets in compose) ✅

Task-Zuweisung:

• 5-Phasen-Plan mit Parallelisierung ✅
• Task-to-Subagent Mapping (alle implementation_engineer) ✅
• Block Rules (max 3 Tasks/Block, quality_reviewer nach Block) ✅
• Quality Gates (Per-Task, Phase, Release) ✅

---

⚠️ Kriterium 5: Widersprüche architecture.md ↔ requirements.md (PARTIAL — MAJOR)

Keine direkten Widersprüche in Technologie-Entscheidungen:

• PostgreSQL 16 ↔ F-DATA-04 ✓
• React 18 SPA ↔ Requirements ✓
• FastAPI Backend ↔ Requirements ✓
• Session-based Auth ↔ F-AUTH-01/F-INT-02 ✓
• Plugin System ↔ F-PLUGIN-01/02 ✓

Aber: Gaps (Requirements fordern, Architecture schweigt):

• F-AI-01 fordert KI-Integration → Architecture hat keine KI-Sektion (CRITICAL)
• F-WF-01 fordert Workflow-Engine → Architecture hat keine Workflow-Sektion (CRITICAL)
• F-SEC-02 fordert CSP-Header → Architecture erwähnt keinen CSP-Header (MINOR)
• F-INFRA-04 fordert Monitoring & Alerting → Architecture hat keins (MAJOR)
• F-PERF-01 fordert Performance-Requirements → Architecture hat keine Performance-Sektion (MAJOR)

---

⚠️ Kriterium 6: Widersprüche task_graph.json ↔ architecture.md (PARTIAL — MINOR)

• Task-API-Endpoints ↔ Architecture API Design: Konsistent ✅
• Task-DB-Models ↔ Architecture DB Schema: Konsistent ✅
• Task-Plugin-Architecture ↔ Architecture Plugin Section: Konsistent ✅
• Task-Dependencies ↔ Architecture Service Dependencies: Konsistent ✅
• F-CONT-08 in T02 requirement_ids existiert nicht in requirements.md (Phantom) — MINOR
• api_tokens table in Architecture §6 erwähnt, aber nicht in DB Schema §2 — MINOR

---

✅ Kriterium 7: Multi-Tenant konsistent (PASS)

• DB Schema: Jede Tabelle hat tenant_id UUID FK→tenants.id ✅
  • Core: tenants, users, user_tenants, roles, sessions, companies, contacts, company_contacts, audit_log, deletion_log, notifications, password_reset_tokens, plugins ✅
  • DMS: dms_folders, dms_files, file_links, folder_permissions, file_shares, share_links ✅
  • Calendar: calendars, calendar_entries, calendar_entry_links, calendar_shares, user_calendar_visibility, subtasks, resources, resource_bookings ✅
  • Mail: mail_accounts, mail_folders, mails, mail_attachments, mail_labels, mail_label_assignments, mail_rules, mail_templates, mail_signatures, vacation_sent_log, pgp_keys, contact_pgp_keys ✅
  • Tags: tags, tag_assignments ✅
• Architecture §5: ORM Auto-Filter via before_query event listener ✅
• TenantMixin base class ✅
• Cross-Tenant Protection: 404 (not 403) ✅
• Plugin Tables MUST include tenant_id — migration validator enforces ✅
• AGENTS.md Forbidden: "Plugin Tables without tenant_id" ✅
• Task T01 acceptance criteria: "Cross-tenant access auf company → 404" ✅

---

✅ Kriterium 8: Plugin-System als v1-Core-Feature (PASS)

• Architecture §4: Vollständige Plugin-Architektur (Manifest, Lifecycle, Event Bus, DI, UI Framework) ✅
• ADR-03: Built-in plugins with manifest-driven registration ✅
• Task T03: Plugin System Framework (install/activate/deactivate/uninstall, migrations, UI registry) ✅
• Tasks T04-T06: Plugin-Implementierungen (DMS+Tags, Calendar, Mail) ✅
• Plugin Endpoints in API Design ✅
• AGENTS.md: Plugin structure in conventions ✅
• Nicht als Non-Goal markiert ✅

---

✅ Kriterium 9: PostgreSQL 16, React 18 SPA, FastAPI (PASS)

• Docker Compose: postgres:16-alpine ✅
• Frontend Stack: React 18, Vite, React Router v6 ✅
• Backend: FastAPI + Uvicorn ✅
• ADR-01: PostgreSQL 16 instead of SQLite ✅
• AGENTS.md Forbidden: ❌ SQLite, ❌ Jinja2 ✅
• Keine SQLite-Referenzen in gesamter Architektur ✅
• Keine Jinja2-Referenzen in gesamter Architektur ✅

---

⚠️ Kriterium 10: Session-based Auth + API-Token separat (PARTIAL — CRITICAL)

Session-based Auth:

• Architecture §6: Session in sessions table, HttpOnly+Secure+SameSite=Strict cookie ✅
• ADR-05: Session-based Auth instead of JWT ✅
• AGENTS.md Forbidden: ❌ JWT Tokens ✅
• Password hashing: bcrypt cost=12 ✅
• CSRF: SameSite=Strict + Origin-Header-Validierung ✅

⚠️ CRITICAL CONTRADICTION — Session Storage:

• Architecture §6 (line 1116): "Create session in sessions table" → PostgreSQL
• ADR-05 (line 1437): "Server-side sessions in Redis" + "Session data in Redis for fast lookup"
• DB Schema (lines 193-200): sessions table definiert mit id, user_id, tenant_id, csrf_token, expires_at
• Widerspruch: Section 6 sagt PostgreSQL sessions table, ADR-05 sagt Redis. Es ist unklar, ob Sessions in Redis ODER PostgreSQL ODER beiden gespeichert werden.
• Erforderliche Aktion: Klären und konsistent dokumentieren: Redis für Session-Lookup (fast) + PostgreSQL für Persistenz (survival)? Oder nur PostgreSQL? ADR-05 muss mit Section 6 übereinstimmen.

API Tokens:

• Architecture §6 erwähnt api_tokens table (user_id, token_hash, name, scopes, expires_at) ✅
• Markiert als "post-MVP, but architecture supports it" ✅
• api_tokens table NICHT in DB Schema §2 definiert — MINOR
• Token auth via Authorization: Bearer <token> ✅
• Token respektiert RBAC und tenant isolation ✅

---

Severity Summary

Severity	Count	Details
CRITICAL	3	F-AI-01 fehlt, F-WF-01 fehlt, Session-Storage-Widerspruch
MAJOR	5	19 Features ohne Traceability, F-DOC-01 fehlt, F-INFRA-04 fehlt, F-PERF-01 fehlt, F-CONT-08 Phantom
MINOR	3	api_tokens table nicht in DB Schema, CSP-Header nicht erwähnt, Architecture line 1033 typo (```n)
SUGGESTION	1	Feature-IDs der implizit abgedeckten Features zu task_graph hinzufügen

---

Findings (Strukturiert)

CRITICAL-1: F-AI-01 (KI-Copilot) — V1 Feature komplett fehlt

• Artifact: architecture.md, task_graph.json
• Location: F-AI-01 in requirements.md ist [v1], aber kein Task und keine Architecture-Sektion
• Issue: Requirements fordern KI-Copilot mit API-Kontrolle und RBAC-Respektierung. Weder Architecture.md noch Task Graph enthalten einen Task oder eine Sektion dafür.
• Recommendation:
  1. Architecture.md um Sektion "KI-Integration" erweitern: API-First-Design als Grundlage, KI-Copilot API-Endpoint (/api/v1/ai/copilot), RBAC-Durchsetzung via bestehende Middleware
  2. Task Graph: Neuen Task T09 hinzufügen ODER T01/T02 erweitern um KI-Copilot API-Endpoint
  3. F-AI-01 zu requirement_ids des entsprechenden Tasks hinzufügen
• Block transition: JA

CRITICAL-2: F-WF-01 (Hybrid-Workflow-Engine) — V1 Feature komplett fehlt

• Artifact: architecture.md, task_graph.json
• Location: F-WF-01 in requirements.md ist [v1], aber kein Task und keine Architecture-Sektion
• Issue: Requirements fordern Hybrid-Workflow-Engine (Code-Engine + konfigurierbare Regeln). Architecture hat nur Event Bus, keine Workflow-Engine.
• Recommendation:
  1. Architecture.md um Sektion "Workflow Engine" erweitern: Code-basierte Kern-Workflows + konfigurierbare User-Workflows
  2. DB Schema: workflows, workflow_steps, workflow_instances Tabellen
  3. Task Graph: Neuen Task hinzufügen ODER bestehenden Task erweitern
  4. F-WF-01 zu requirement_ids hinzufügen
• Block transition: JA

CRITICAL-3: Session-Storage-Widerspruch (PostgreSQL vs Redis)

• Artifact: architecture.md
• Location: Section 6 (line 1116) vs ADR-05 (line 1437)
• Issue: Section 6 sagt "Create session in sessions table" (PostgreSQL). ADR-05 sagt "Server-side sessions in Redis". DB Schema definiert sessions table. Unklar, wo Sessions gespeichert werden.
• Recommendation:
  1. Entscheidung treffen: Redis für Session-Store (fast, mit TTL) ODER PostgreSQL sessions table (persistent) ODER beides (Redis für Lookup + PostgreSQL für Audit)
  2. Architecture §6 und ADR-5 konsistent machen
  3. Wenn Redis-only: sessions table aus DB Schema entfernen oder als Audit-Trail behalten
  4. Wenn PostgreSQL-only: ADR-05 Rationale anpassen
• Block transition: JA

MAJOR-1: 19 v1 Features ohne Traceability in task_graph

• Artifact: task_graph.json
• Location: requirement_ids arrays in allen Tasks
• Issue: 19 Features sind funktional durch Tasks abgedeckt, aber ihre IDs fehlen in den requirement_ids Arrays. Traceability ist broken.
• Recommendation: Füge folgende Feature-IDs zu den entsprechenden Tasks hinzu:
  • T01: F-SCHED-01, F-SEC-02, F-SEC-03, F-INFRA-03
  • T02: F-DATA-03, F-DATA-04
  • T07: F-NAV-01, F-SET-01, F-UI-01, F-UI-02, F-UI-03, F-UI-04, F-UI-05, F-UI-06, F-UI-08, F-DATA-06
  • T08: F-ENV-01, F-INFRA-02
  • Alle Tasks / übergreifend: F-TEST-01
• Block transition: NEIN, aber vor Implementation beheben

MAJOR-2: F-DOC-01 (Dokumentation) — V1 Feature ohne Task

• Artifact: task_graph.json
• Issue: F-DOC-01 fordert Dokumentation. Kein Task hat diesen Feature-ID. Architektur erwähnt docs/admin-guide.md aber kein Task erstellt Dokumentation.
• Recommendation: T08 um Dokumentations-Task erweitern oder separaten Mini-Task für Admin-Guide + API-Docs hinzufügen

MAJOR-3: F-INFRA-04 (Monitoring & Alerting) — V1 Feature nicht abgedeckt

• Artifact: architecture.md, task_graph.json
• Issue: Requirements fordern Monitoring & Alerting. Architecture und Task Graph enthalten keins.
• Recommendation: Architecture §8 um Monitoring-Sektion erweitern (z.B. /health endpoint erweitert, Prometheus metrics, Alerting). Task T01 oder T08 um Monitoring erweitern.

MAJOR-4: F-PERF-01 (Performance) — V1 Feature nicht abgedeckt

• Artifact: architecture.md, task_graph.json
• Issue: Requirements fordern Performance (200k Records, FTS, <2s Response). Architecture hat keine Performance-Sektion oder -Tests.
• Recommendation: Architecture um Performance-Sektion erweitern (DB Indexing Strategy, Query Optimization, Pagination Limits). Task T02 um Performance-Test erweitern (200k seed + list <2s).

MAJOR-5: F-CONT-08 Phantom in task_graph.json

• Artifact: task_graph.json
• Location: T02 requirement_ids array
• Issue: F-CONT-08 existiert nicht in requirements.md. Vermutlich für GDPR-Delete von Contacts gedacht, was bereits durch F-COMP-08 abgedeckt ist.
• Recommendation: F-CONT-08 aus T02 requirement_ids entfernen. Funktionalität ist bereits durch F-COMP-08 abgedeckt.

MINOR-1: api_tokens table nicht in DB Schema definiert

• Artifact: architecture.md
• Location: Section 6 erwähnt api_tokens table, aber Section 2 (DB Schema) definiert sie nicht
• Recommendation: api_tokens table in DB Schema aufnehmen (selbst wenn post-MVP)

MINOR-2: CSP-Header nicht erwähnt

• Artifact: architecture.md
• Location: F-SEC-02 fordert CSP-Header, Architecture erwähnt keins
• Recommendation: Nginx config um Content-Security-Policy Header erweitern

MINOR-3: Architecture line 1033 — Typo in code fence

• Artifact: architecture.md
• Location: Line 1033: ​```n statt ​```
• Recommendation: n entfernen

---

Next Steps (vor Phase-Übergang erforderlich)

1. [CRITICAL] Architecture.md um KI-Integration-Sektion erweitern (F-AI-01)
2. [CRITICAL] Architecture.md um Workflow-Engine-Sektion erweitern (F-WF-01) + entsprechende DB-Tabellen
3. [CRITICAL] Session-Storage-Widerspruch auflösen (Redis vs PostgreSQL) und Architecture §6 + ADR-05 konsistent machen
4. [MAJOR] 19 implizit abgedeckte Feature-IDs zu task_graph.json requirement_ids hinzufügen
5. [MAJOR] F-DOC-01, F-INFRA-04, F-PERF-01 Tasks oder Task-Erweiterungen definieren
6. [MAJOR] F-CONT-08 aus task_graph.json entfernen (Phantom)
7. [MINOR] api_tokens table in DB Schema aufnehmen
8. [MINOR] CSP-Header in Nginx config dokumentieren
9. [MINOR] Typo in architecture.md line 1033 korrigieren
10. [SUGGESTION] feature_coverage_summary in task_graph.json aktualisieren nach Hinzufügen der fehlenden IDs

---

Review-Metadata

• Files reviewed: architecture.md (1468 lines), task_graph.json (480 lines), AGENTS.md (538 lines), requirements.md (2142 lines, Referenz)
• Cross-check method: Programmatische Feature-ID-Extraktion + Set-Differenz (Python regex)
• Review duration: Vollständige Lektüre aller 4 Dateien
• Tool used: text_editor (read), code_execution_tool (python cross-check)