feat: die Sicherung liegt an drei Orten statt an zweien

Der letzte offene Punkt aus docs/ideen.md. Ein ZWEITES LAUFWERK, einstellbar im
Panel unter Einstellungen -> Sicherung; sichern.ps1 legt das Archiv dort ab,
vergleicht die Pruefsumme und duennt auch dort aus.

WARUM DAS NICHT DASSELBE IST WIE DIE NEXTCLOUD. Die hilft, wenn der ganze
Rechner weg ist -- aber wer 335 MB, spaeter 100 GB, zurueckholen muss, laedt sie
ueber die Leitung. Das zweite Laufwerk ist in Minuten zurueckgespielt. Zwei
Fragen, zwei Antworten, deshalb zwei Ziele.

UND ES WARNT, WENN ES DIESELBE PLATTE IST -- das ist der eigentliche Inhalt.
Ein zweiter Ordner auf C: sieht im Panel genauso gruen aus wie eine echte zweite
Platte und hilft gegen gar nichts. Verglichen wird die PHYSISCHE Platte und
nicht der Laufwerksbuchstabe: zwei Partitionen derselben NVMe sterben zusammen.
Nachgemessen in beide Richtungen:

    C:\backup gegen D:\backup  ->  Nr. 0 gegen Nr. 1  ->  "andere Platte"
    C:\backup gegen C:\Users   ->  Nr. 0 gegen Nr. 0  ->  Warnung

Auf diesem Rechner sind das zwei getrennte NVMe zu je 954 GB.

GEMESSEN AN EINEM ECHTEN LAUF, keinem Trockentest: 4630 Eintraege, 335,9 MB,
auf beiden lokalen Zielen und in der Nextcloud dieselbe Pruefsumme
FFCE4D0A7310... -- identisch.

Geprueft wird mit der Pruefsumme und nicht mit der Dateigroesse: eine
abgebrochene Kopie auf eine volle Platte hat oft genau die richtige Laenge und
trotzdem Nullen am Ende. Schlaegt das Kopieren oder der Vergleich fehl, ist der
ganze Lauf gescheitert (exit 1, ok:false) -- ein Ziel, das still ausfaellt, ist
genau das, wogegen das hier gebaut ist.

Der Bericht traegt jetzt zweit:true. Fehlt das Feld, ist KEIN zweites Ziel
eingerichtet -- es steht absichtlich nicht als false da, denn das laese sich wie
"hat nicht geklappt".

Die Statusseite zaehlt die Orte mit: "sicherung ok an 3 Orten" statt nur "ok".
Eine Sicherung, die es nur einmal gibt, ist gruen und trotzdem eine, die ein
Plattenausfall mitnimmt -- das gehoert dorthin, wo jemand hinsieht.

Der Pfad wird beim Speichern auf seine FORM geprueft (Laufwerksbuchstabe oder
UNC-Freigabe): der Dienst laeuft im Container und kann ihn nicht nachschlagen,
aber ein relativer Pfad ist mit Sicherheit ein Tippfehler -- und ein Tippfehler
in einem Sicherungsziel faellt sonst erst auf, wenn man die Sicherung braucht.
Nachgemessen: "backup/woauchimmer" -> 400 mit Text.

Und zurueckspielen.ps1 sagt im Kopf, was zu tippen ist, wenn genau diese Platte
das Problem ist. Das ist der Fall, fuer den das Ganze da ist, und niemand soll
ihn um vier Uhr nachts erst herleiten muessen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/src/routes/dash.ts

@@ -1311,6 +1311,7 @@ dashRoutes.post('/settings', async (c) => {
             passwort?: string
             ordner?: string
             behalten?: number | string
+            zweitziel?: string
         }
     }>(c)
     if (!body) return c.json(KEIN_JSON, 400)
@@ -1418,6 +1419,31 @@ dashRoutes.post('/settings', async (c) => {
             }
             setSetting(SICHERUNG_KEYS.behalten, String(Math.round(n)))
         }
+        if (sic.zweitziel !== undefined) {
+            // Der Pfad gilt auf dem HOST. Der Dienst sieht ihn nie und kann
+            // ihn deshalb nicht nachschlagen -- er nimmt ihn entgegen und
+            // tools/sichern.ps1 stolpert notfalls darueber. Was hier trotzdem
+            // geht, ist die Form: ein Pfad ohne Laufwerk oder Freigabe ist mit
+            // Sicherheit ein Tippfehler, und ein Tippfehler in einem
+            // Sicherungsziel faellt sonst erst auf, wenn man die Sicherung
+            // braucht.
+            const v = sic.zweitziel.trim().replace(/[\\/]+$/, '')
+            // Entweder ein Laufwerksbuchstabe (D:\...) oder eine UNC-Freigabe
+            // (\\nas\sicherungen). Alles andere ist ein relativer Pfad, und
+            // relativ WOZU waere hier gar nicht beantwortbar.
+            if (v && !/^([A-Za-z]:[\\/]|\\\\[^\\]+\\)/.test(v)) {
+                return c.json(
+                    {
+                        error:
+                            'Das zweite Ziel braucht ein Laufwerk oder eine Freigabe, ' +
+                            'z. B. D:\\backup\\d4rk_media oder \\\\nas\\sicherungen.',
+                    },
+                    400,
+                )
+            }
+            setSetting(SICHERUNG_KEYS.zweitziel, v)
+        }
+
         // Wie beim Discord-Geheimnis: leer heisst unveraendert, "-" entfernt.
         if (sic.passwort !== undefined) {
             const v = sic.passwort.trim()

server/src/routes/status.ts

@@ -189,7 +189,12 @@ async function pruefen(): Promise<Antwort> {
         pruefungen.push({ was: 'sicherung', ok: false, hinweis: 'noch keine gemeldet' })
     } else {
         try {
-            const l = JSON.parse(roh) as { at: number; ok: boolean }
+            const l = JSON.parse(roh) as {
+                at: number
+                ok: boolean
+                hoch?: boolean
+                zweit?: boolean
+            }
             const stunden = (now() - l.at) / 3_600_000
             if (!l.ok) {
                 pruefungen.push({ was: 'sicherung', ok: false, hinweis: 'letzte fehlgeschlagen' })
@@ -200,7 +205,16 @@ async function pruefen(): Promise<Antwort> {
                     hinweis: `letzte vor ${Math.round(stunden)} Stunden`,
                 })
             } else {
-                pruefungen.push({ was: 'sicherung', ok: true })
+                // WIEVIELE ORTE, nicht nur "gelaufen". Eine Sicherung, die es
+                // nur einmal gibt, ist gruen und trotzdem eine, die ein
+                // Plattenausfall mitnimmt -- das gehoert auf die Statusseite,
+                // wo jemand hinschaut, und nicht nur ins Panel.
+                const orte = 1 + (l.zweit ? 1 : 0) + (l.hoch ? 1 : 0)
+                pruefungen.push({
+                    was: 'sicherung',
+                    ok: true,
+                    hinweis: orte === 1 ? 'nur an einem Ort' : `an ${orte} Orten`,
+                })
             }
         } catch {
             pruefungen.push({ was: 'sicherung', ok: false, hinweis: 'Eintrag unlesbar' })