feat(agent): add test frontend and Docker stack

planung.md

@@ -357,4 +357,20 @@ tests/            # pytest: Ingest-, Retrieval-, Grounding-Unit-Tests
   getrennten tenant-autorisierten Vertrag; sie wird nicht durch Anhängen von
   Rohdaten an `/v1/ask` umgesetzt. Vertrag und Odoo-Clientregeln:
   `docs/API.md`.
+- **Test-Frontend (2026-09-16, D20):** FastAPI liefert ein responsives,
+  dependency-freies same-origin UI unter `/` aus. Es rendert Antworttext
+  XSS-sicher, zeigt Health, Quellen, Konflikte, Rückfragen sowie Grounding-
+  Metadaten und speichert weder Fragen noch Chatverlauf. Ein Service-Key wird
+  nur vom Benutzer eingegeben und optional im `sessionStorage` des Tabs
+  gehalten. Zielbetrieb ist `http://100.103.83.12:8080/` mit Bind an das
+  Tailscale-Interface und gesetztem `PV_API_KEY`; CSP und weitere Security-
+  Header schützen die UI, ohne FastAPI `/docs` zu blockieren.
+- **Docker-Deployment (2026-09-16, D21):** Ein gehärteter Compose-Service
+  betreibt UI und API gemeinsam auf `100.103.83.12:8080` und nutzt das externe
+  Netz `ollama-default`. Ollama bleibt ein separater bestehender Container;
+  sein Netzwerk-DNS-Alias wird über `OLLAMA_URL` konfiguriert. Index und KB
+  bleiben Host-Bind-Mounts, Secrets und lokale Korpora außerhalb des Images.
+  Der Stack verlangt einen Service-Key, läuft als konfigurierbare unprivilegierte
+  UID/GID mit read-only Root-FS und besitzt einen Readiness-Healthcheck.
+  Deployment und initialer Indexaufbau: `docs/DOCKER.md`.
 - Betrieb: `agent/README.md`.